Proceso de búsqueda y eliminación que crea conexiones maliciosas

Question

Proceso de búsqueda y eliminación que crea conexiones maliciosas

#1 de Mark (4 votos)

0

State      Recv-Q Send-Q        Local Address:Port            Peer Address:Port   
FIN-WAIT-1 0      3640        my.public.ip.xx:https          xxx.xx.xxx.xx:56206   
SYN-SENT   0      1           my.public.ip.xx:55380          suspicious.ip1:9001     users:(("zpanel-cgi",4274,3))
FIN-WAIT-1 0      178         my.public.ip.xx:https          xxx.xx.xxx.xx6:56204   
FIN-WAIT-1 0      3640        my.public.ip.xx:https          xxx.xx.xxx.xx:3275    
ESTAB      0      304         my.public.ip.xx:ssh            my.local.ip.x:32806    users:(("sshd",13981,3))
FIN-WAIT-1 0      178         my.public.ip.xx:https          xxx.xx.xxx.xx:3263    
SYN-SENT   0      1           my.public.ip.xx:42411          suspicious.ip2:whois    users:(("whois",14681,175))
FIN-WAIT-1 0      70          my.public.ip.xx:https          xxx.xx.xxx.xx:56198   
ESTAB      0      0           my.public.ip.xx:http           xxx.xx.xxx.xx:7497     users:(("apache2",14594,88))

Hola, Así que mi servidor se vio comprometido hace un tiempo y estoy tratando de corregir los problemas.

Mi servidor ejecuta Ubuntu 12.04 . Como puede ver en el registro anterior (resultado del comando ss -tp ), hay dos conexiones que son extraterrestres (ambos nombres de usuario no se pueden encontrar en el archivo / etc / passwd

Actualmente estoy usando ufw para bloquear todas las conexiones extrañas de entrada / salida.
Mi pregunta es ¿cómo puedo eliminar completamente estas conexiones y sus procesos / usuarios principales?

linux antimalware

pregunta Nathan Do 03.10.2014 - 06:40

fuente

1 respuesta

Lea otras preguntas en las etiquetas linux antimalware

Creo que alguien está usando mi WiFi ¿Hay alguna forma de realizar cambios en una máquina virtual, probarla y realizar automáticamente los mismos cambios en la máquina normal?

score 4 · Accepted Answer

Deténgalo de la órbita. Es la única manera de estar seguro.

En serio, si está seguro de que su servidor se ha visto comprometido, la única forma segura de limpiarlo es limpiarlo y reconstruirlo, esta vez asegurándose de que no haya ninguna vulnerabilidad.

Claro, podrías pasar tiempo jugando a whack-a-mole, pero ¿cómo puedes estar seguro de haber eliminado un archivo, cuando el atacante podría haber parchado rm y ls para mentirte? ¿Reemplazó a ps y top con versiones que no listan el bot del atacante? ¿Reemplazado ufw para que dejen pasar sus conexiones sin avisarte?