Parece que isso pode pertencer à Segurança da Informação, mas aqui está o começo de ver "como você saberia" e se você está sendo pwnd.
Algumas observações:
- 43.250.83.106 está em Bangladesh (nas proximidades)
- 70.24.39.90 é em América do Norte (Canadá)
- 115.28.112.60 é AsiaPacific (China), sem tráfego de entrada
- Números de porta baixos (abaixo do limite efêmero do sistema operacional) são privilegiados e geralmente não são desejados para saída.
- Embora um portscan possa explicar o último conjunto (uma única fonte: IP), não há evidências de que sejam sessões de entrada, e os RSTs (em resposta a varreduras) estão em torno de 50 bytes (não 172).
Para estabelecer se é possível C2 (nos dois endereços principais) seguido por uma sequência rápida de portas abertas (enviando cerca de 172 bytes cada, fechando sem resposta aparente) você teria que reconectar o sistema e iniciar a captura de pacotes . Não faça isso.
Se você vai mantê-lo ligado / não backup, etc:
- Analise os registros de firewall externos ou capture pacotes fora do sistema para ver se ainda está tentando entrar em contato. Pode também estar enviando pacotes para sua rede. Isso pode ser tão simples quanto a saída de DNS ou ICMP, para evitar revelar o C2.
- No próprio host, você pode tentar várias coisas:
- Primeiro, considere que suas ferramentas foram anuladas ou conectadas. Para isso, você pode testar os binários vinculados estaticamente que você obtém / faça você mesmo (e use somente leitura mídia), ou use busybox
- "netstat -p" geralmente funciona apenas com permissões elevadas (você certamente já aumentou durante a investigação, portanto, isso não representa risco adicional).
- "lsof -i4" mostrará processos + conexões IPv4 (-i6 para IPv6).
- Unhide compara / proc com 'ps', tenta syscalls, pid bruteforcing, uma pesquisa de thread reversa, e também pode revelar portas não visíveis para o netstat.
- ss -ap (processa + soquetes)
- rkhunter, chkrootkit (verificadores de rootkits)
- verifique se há algo em execução em lugares estranhos (como pastas tmp)
- verifique se há scripts residentes (perl, python, etc)
Outras ferramentas:
- lsmod deve mostrar os módulos do kernel
- auditd (se adicionado por sua distro) deve lhe dar a capacidade de monitorar chamadas e falhas estranhas do sistema.
- tcpdump (captura o tráfego de rede)
- verifique seus arquivos de histórico por usuário (include / root e / home / *) como .bash_history, .lesshst, .mysql_history, etc.
- check / proc / filesystems e qualquer sistema de arquivos ck * que você não instalou. Sistemas de arquivos no espaço do usuário (FUSE) podem estar escondendo áreas de risco.
Prevenir a recorrência é uma resposta grande e complexa relacionada ao que aconteceu. Firewalling (iptables), IDS / IPS (snort), desabilitar serviços desnecessários, auditar acessos de linguagem wget / curl / scripting, auditar executáveis descartados em locais estranhos (pastas home, pastas temp), monitoramento de integridade de arquivos, etc. são um bom começo. O SELinux (o AppArmor é semelhante em outros sistemas) tende a ser muito trabalhoso, mas também é útil.