Saya memiliki proses yang tidak dikenal ketika saya menjalankan top:

• Ketika saya membunuh proses itu datang lagi dengan nama acak lain.
• ketika saya memeriksa level rc.d dan init.d ada banyak nama acak yang mirip seperti ini dan ini juga ada.
• ketika saya mencoba untuk apt-get menghapus atau anthing elses itu akan datang lagi.
• ketika saya mencolokkan kabel jaringan itu mengunci seluruh jaringan kami.

Apakah Anda tahu bagaimana cara menghapusnya?

Apa layanan / proses ini?

Ini adalah file exe, ketika saya menghapusnya, ia akan datang kembali juga.

/proc/**pid**/exe => symbolic link to /usr/bin/hgmjzjkpxa

Ketika saya memeriksa "netstat -natp" ada alamat asing establisment adalah 98.126.251.114:2828. Ketika saya mencoba menambahkan aturan ke iptables, itu tidak berfungsi. Tetapi setelah mencoba dan kemudian restart alamat ini berubah menjadi 66.102.253.30:2828 yang satu ini.

OS adalah Debian Wheeze

Saya memiliki beberapa pengalaman tentang trojan string 10bit acak ini, Ini akan mengirim banyak paket untuk SYN flood.

1. Kurangi jaringan Anda

Trojan memiliki file mentah yang berasal /lib/libudev.so, itu akan menyalin dan bercabang lagi. Itu juga akan menambahkan cron.hourlypekerjaan bernama gcc.sh, maka itu akan menambahkan skrip awal di Anda /etc/rc*.d(Debian, CentOS mungkin /etc/rc.d/{init,rc{1,2,3,4,5}}.d)

2. Gunakan rootuntuk menjalankan skrip di bawah ini untuk mengubah hak istimewa folder:chmod 0000 /lib/libudev.so && rm -rf /lib/libudev.so && chattr +i /lib/

3. Hapus semua /etc/rc{0,1,2,3,4,5,6,S}.dfile yang dibuat hari ini, Namanya mirip S01????????.

4. Edit crontab Anda, hapus gcc.shskrip di Anda /etc/cron.hourly, hapus gcc.shfile ( /etc/cron.hourly/gcc.sh) lalu tambahkan hak istimewa untuk crontab Anda:sed '/gcc.sh/d' /etc/crontab && chmod 0000 /etc/crontab && chattr +i /etc/crontab

5. Gunakan perintah ini untuk memeriksa perubahan file terbaru: ls -lrt

Jika Anda menemukan file yang mencurigakan bernama S01xxxxxxxx(atau K8xxxxxxxx), hapuslah.

6. Maka Anda harus reboot tanpa jaringan.

Maka trojan harus dibersihkan dan Anda dapat memodifikasi hak folder untuk nilai-nilai asli ( chattr -i /lib /etc/crontab).

Ini dikenal sebagai XORDDos Linux Trojan. Triknya adalah menjalankan killdengan -STOPagar proses dihentikan sementara sehingga tidak membuat yang baru.

`kill -STOP PROCESS_ID`

Saya berani bertaruh satu dolar untuk itu https://blog.avast.com/2015/01/06/linux-ddos-trojan-hiding-itself-with-an-embedded-rootkit/ . Semua gejala Anda persis seperti yang dijelaskan.

Bagi saya ada dua opsi:

1. Untuk trojan yang mengacaukan file di / usr / bin, saya hanya melakukan ini: echo> /lib/libudev.so Bunuh trojan PID

2. Untuk yang mengacaukan / bin (di sini selalu ada 5-10 proses yang berjalan untuk chattr pecahan + i / bin dan ikuti langkah-langkah yang disebutkan oleh rainysia

Kami juga menghadapi masalah yang sama, server kami juga diretas dan saya menemukan bahwa mereka dengan kasar memaksa ssh login dan mendapatkan keberhasilan dan menyuntikkan trojan di sistem kami.

Berikut ini rinciannya:

kurang / var / log / secure | grep 'Gagal kata sandi' | grep '222.186.15.26' | wc-l 37772 dimulai

dan mendapat akses di bawah waktu: Kata sandi yang diterima untuk root dari 222.186.15.26 port 65418 ssh2

Dan sesuai IP Location Finder, ip ini milik suatu tempat di Cina.

Langkah- langkah perbaikan : harap ikuti langkah-langkah yang diberikan oleh: @rainysia

Langkah-langkah pencegahan ::

1. Menurut saya beberapa pengaturan managemnet harus ada ketika seseorang mencoba ssh atau mengakses server Anda dan gagal berkali-kali.
2. Pengontrol Kecepatan Jaringan harus ada di sana jika Anda menggunakan platform cloud seperti aws, gcp, azure dll ...

Saya mendapatkan virus ayam ini, ketika saya membuka port default inorder untuk terhubung ke akses jarak jauh dari mesin di rumah saya. dalam kasus saya situs ini membantu saya

Langkah

1) Daftar file di bawah cron per jam. Jika Anda dapat melihat file .sh, harap buka.

root@vps-# ls -la /etc/cron.hourly/

++++++++++
CT-24007-bash-4.1# ls /etc/cron.hourly/
freshclam  gcc.sh
CT-24007-bash-4.1# 
++++++++++

2) Jika file .sh menampilkan data yang sama seperti yang ditunjukkan di bawah ini, maka itu adalah program Virus !!

root@vps-#  cat /etc/cron.hourly/gcc.sh

++++++++++
 cat /etc/cron.hourly/gcc.sh
#! / Bin / sh
PATH = / bin: / sbin: / usr / bin: / usr / sbin: / usr / local / bin: / usr / local / sbin: / usr / X11R6 / bin
for i in `cat / proc / net / dev | grep: | awk -F: {'print $ 1'}`; do ifconfig $ i up & done
cp /lib/libudev.so /lib/libudev.so.6
/lib/libudev.so.6
++++++++++

3) Sekarang, tolong jangan terburu-buru! Tetap tenang dan mudah: D

Jangan hapus gcc.sh atau jangan hapus crontab. Jika Anda menghapus atau menghapusnya, maka proses lain akan segera menghasilkan. Anda dapat menghapus skrip pelakunya atau menonaktifkannya. [Saya lebih suka menonaktifkannya untuk menunjukkan bukti kepada pelanggan]

root@vps-# rm -f /etc/cron.hourly/gcc.sh; 

ATAU

root@vps- #  chmod 0 /etc/cron.hourly/gcc.sh; chattr +ia /etc/cron.hourly/gcc.sh;  chattr + i /etc/crontab

4) Gunakan perintah teratas untuk melihat file virus atau file berbahaya (Misalnya: "mtyxkeaofa") PID adalah 16621, jangan langsung mematikan program, jika tidak akan kembali menghasilkan, tetapi untuk menghentikan operasinya gunakan perintah di bawah ini.

root@vps- # kill -STOP 16621

Hapus file dalam /etc/init.d. atau nonaktifkan [Saya lebih suka menonaktifkannya untuk menunjukkan bukti kepada pelanggan]

root@vps-# find /etc -name '* mtyxkeaofa *' | xargs rm -f

ATAU

chmod 0 /usr/bin/mtyxkeaofa; 
chmod 0 /etc/init.d/mtyxkeaofa; 
chattr +ia /usr/bin/mtyxkeaofa; 
chattr +ia /etc/init.d/mtyxkeaofa; 

6) Hapus / usr / bin di dalam arsip.

root@vps-# rm -f /usr/bin/mtyxkeaofa;

7) Periksa / usr / bin arsip perubahan terbaru, virus juga dapat dihapus jika tersangka lain adalah direktori yang sama.

root@vps-# ls -lt /usr/bin | head

8) Sekarang bunuh program jahat, itu tidak akan menghasilkan.

root@vps-# pkill mtyxkeaofa

9) Hapus tubuh virus.

root@vps-# rm -f /lib/libudev.so

Trojan ini juga dikenal sebagai Botnets DoS Chinese Chicken Multiplatform Trojan, Unix - Trojan.DDoS_XOR-1, Embedded rootkit,

Catatan: Jika Anda tidak dapat menemukan file .sh, Anda dapat menginstal ClamAV, RKHunter dan memeriksa log / laporan untuk menemukan yang mencurigakan / berbahaya

tautan ke situs yang sebenarnya

https://admin-ahead.com/forum/server-security-hardening/unix-trojan-ddos_xor-1-chinese-chicken-multiplatform-dos-botnets-trojan/