Ajuda! Meu servidor foi invadido - .IptabLes e .IptabLex em / boot [closed]

Question

Estou executando um servidor dapper do Ubuntu 6.06 e ele foi invadido. Eu vou admitir aqui que sou um programador e não um administrador do sistema, por isso mesmo que eu tenha trabalhado com o Unix / Linux por anos, minhas habilidades como administrador de sistema são extremamente fracas.

Eu hospedo um site que está executando o apache 2 e o tomcat para servir um aplicativo da web Struts baseado em Java. O desempenho do site estava ficando muito ruim e, depois de tentar entender qual era o problema, descobri que um diretório temporário no meu diretório pessoal estava sendo preenchido com arquivos chamados getsetup.hb. *

Isso era novo, então eu pesquisei um pouco mais e descobri rodando o ps -ef que havia alguns processos rodando que eu não conhecia e que pareciam um pouco estranhos para mim, /boot/.IptabLes e / boot / .IptabLex

Eu procurei na Web por uma pista sobre quais eram esses arquivos e tentei executar o netstat para ver quais hosts externos estavam conectados. Ambos .IptabLes e .IptabLex estavam conectados a endereços IP que pertenciam à China Telecom.

Isso foi um choque para mim porque eu tinha o software de firewall iptables configurado para permitir apenas conexões ao servidor web na porta 80 e o ssh na porta 22 era limitado a um IP estático que eu uso em casa para que eu possa acessar o servidor remotamente.

Eu matei os processos, removi os arquivos do diretório / boot e também encontrei cópias na raiz e no / usr que eu removi. Eu também mudei a senha do root.

Efetuando login novamente hoje, vejo que os arquivos estão todos de volta e a conexão com os IPs da China Telecom foi restabelecida.

Não tenho ideia de como proceder aqui. Por favor, perdoe minha ignorância, mas espero que alguém possa me orientar sobre como proceder daqui para resolver isso. Qualquer sugestão é bem vinda.

Obrigado antecipadamente.

Mike

    

Answer 1

Como Thomas disse no comentário 6.06 é WAY no fim da vida. Você precisa contratar um cara do Linux o mais rápido possível e ajudá-lo com o processo de atualização.

Enquanto isso, não entre em pânico! relaxe e leia os seguintes tópicos populares:

Como você sabe que seu servidor foi comprometido

Como sei se meu Linux servidor foi invadido?

Espero que você encontre a melhor maneira de lidar com seu servidor comprometido, lendo a seguinte Questão Canônica:

Como faço para lidar com um servidor comprometido?

Boa sorte!

    

O

Answer 2

Eu faria como sugerido nos comentários acima, mas lembre-se, coloque o servidor offline , pois se ele tiver sido adicionado a um botnet, ele não atacará outras máquinas e colocará outras através do que você está passando.

Remova os arquivos e, se a sua máquina tiver o ftp / ssh, remova todos esses arquivos de configuração *, pois provavelmente eles conterão chaves RSA, etc., assim quem o estiver hackeando não precisará de uma senha. Mas isso não corrigirá o problema, apenas uma reinstalação fará isso:

* _{Os arquivos de configuração estarão em .ssh/ etc em seus diretórios home, que também podem estar em /root , / , etc.}