Sunucuma virüs bulaştı dışarı saldırı yapıyor.

30-01-2015, 00:06:43

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
12834 root 20 0 73904 1756 208 S 28.9 0.0 0:28.12 otbfzcbycn

Şu şekilde load ıda yiyip bitiriyor. Bunu killesem hemen farklı bir isimle tekrar başlıyor. Ne yapmam gerek sizce ?

30-01-2015, 00:29:32

#2

AndyCap

Kimlik doğrulama veya yönetimden onay bekliyor.

Kill atmadan önceki proccess id ile şunun çıktısını görebilir miyim @Divxci?

Örneğin;
pwdx 12834

30-01-2015, 00:31:12

#3

~~LineDatacenter~~

Üyeliği durduruldu

merhaba

https://github.com/ValdikSS/billgates-botnet-tracker

linkden halledebilirsiniz.

30-01-2015, 01:17:50

#4

Divxci

AndyCap adlı üyeden alıntı: mesajı görüntüle

Kill atmadan önceki proccess id ile şunun çıktısını görebilir miyim @Divxci?

Örneğin;
pwdx 12834

Bunu veriyor.

Alıntı

8196: /

30-01-2015, 01:24:05

#5

AndyCap

Divxci adlı üyeden alıntı: mesajı görüntüle

Bunu veriyor.

lsof -p 8196

30-01-2015, 01:40:31

#6

Divxci

AndyCap adlı üyeden alıntı: mesajı görüntüle

lsof -p 8196

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ejxhjipmf 8196 root cwd DIR 253,0 4096 2 /
ejxhjipmf 8196 root rtd DIR 253,0 4096 2 /
ejxhjipmf 8196 root txt REG 253,0 618642 266758 /usr/bin/ejxhjipmfb
ejxhjipmf 8196 root 0u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 1u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 2u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 3u IPv4 4651988 0t0 TCP ns3.*******.com:41030->23.252.161.214:vcom-tunnel (ESTABLISHED)
ejxhjipmf 8196 root 4r DIR 0,3 0 1 /proc
ejxhjipmf 8196 root 5r REG 253,0 9066231 268828 /usr/local/directadmin/directadmin

30-01-2015, 01:48:10

#7

AndyCap

Divxci adlı üyeden alıntı: mesajı görüntüle

COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
ejxhjipmf 8196 root cwd DIR 253,0 4096 2 /
ejxhjipmf 8196 root rtd DIR 253,0 4096 2 /
ejxhjipmf 8196 root txt REG 253,0 618642 266758 /usr/bin/ejxhjipmfb
ejxhjipmf 8196 root 0u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 1u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 2u CHR 1,3 0t0 3968 /dev/null
ejxhjipmf 8196 root 3u IPv4 4651988 0t0 TCP ns3.*******.com:41030->23.252.161.214:vcom-tunnel (ESTABLISHED)
ejxhjipmf 8196 root 4r DIR 0,3 0 1 /proc
ejxhjipmf 8196 root 5r REG 253,0 9066231 268828 /usr/local/directadmin/directadmin

Ne yazık ki rootlanmış gözüküyorsun. uname -a görebilir miyim?

30-01-2015, 01:55:23

#8

Divxci

Linux ns3.******.com 2.6.32-431.el6.x86_64 #1 SMP Fri Nov 22 03:15:09 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux

30-01-2015, 02:00:41

#9

AndyCap

@Divxci evet problemin sebebi kernel. Çekirdeği daha sık güncellemelisin, bulunduğun versiyon sıkıntılı.