Como posso bloquear um scanner de porta malicioso em execução no meu servidor? [duplicado]

Question

Atualmente, estou tentando limpar e proteger um servidor com o pnscan em execução. Essa instância do pnscan foi instalada por uma parte externa com maior probabilidade de usar nosso servidor como parte de uma botnet de varredura de portas. Parece ser capaz de escrever seus binários para / dev / shm e / tmp.

Aqui está a saída de "lsof | grep pnscan":

[email protected]:/home/bitnami# lsof | grep pnscan
pnscan     9588     daemon  cwd       DIR    8,1      4096      647169 /tmp
pnscan     9588     daemon  rtd       DIR    8,1      4096      2      /
pnscan     9588     daemon  txt       REG    8,1      18468     647185 /tmp/pnscan
pnscan     9588     daemon  mem       REG    8,1      42572     418331 /lib/tls/i686/nosegneg/libnss_files-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1    1421892     418349 /lib/tls/i686/nosegneg/libc-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1      79676     418329 /lib/tls/i686/nosegneg/libnsl-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1     117086     418343 /lib/tls/i686/nosegneg/libpthread-2.11.1.so
pnscan     9588     daemon  mem       REG    8,1     113964     402913 /lib/ld-2.11.1.so
pnscan     9588     daemon    0r      CHR    1,3        0t0     705    /dev/null
pnscan     9588     daemon    1w      CHR    1,3        0t0     705    /dev/null
pnscan     9588     daemon    2w     FIFO    0,8        0t0     37499  pipe
pnscan     9588     daemon    3r      REG    8,1        203     516243 /opt/bitnami/apache2/cgi-bin/php-cgi
pnscan     9588     daemon    4u      REG    0,15         0      37558 /dev/shm/.x
pnscan     9588     daemon    5u     IPv4    37559      0t0     TCP  domU-12-31-39-14-41-41.compute-1.internal:52617->lab1.producao.uff.br:www (ESTABLISHED)
pnscan     9588     daemon    6u     IPv4    3688467    0t0     TCP  domU-12-31-39-14-41-41.compute-1.internal:55926->200.25.69.27:www (SYN_SENT)

E aqui está a saída de "ps aux | grep pnscan":

daemon    9588  2.3  0.1 3116204 3272 ?        Sl   21:42   1:55  /tmp/pnscan -rApache -wHEAD / HTTP/1.0\r\n\r\n 200.0.0.0/8 80

Qualquer conselho sobre como podemos encontrar a fonte disso seria muito apreciado.

Obrigado!

    

Answer 1

Normalmente, um servidor comprometido é

1. com backup como imagem para investigação adicional em um laboratório fechado
2. recriada ou reinstalada / restaurada para manter a produção

Deixar uma máquina comprometida, mesmo que você aparentemente a limpe, em produção, não é uma prática segura

    

Answer 2

parece que este código "pnscan" está sendo executado a partir do UID 9588.

você poderia configurar uma diretiva iptables para combinar com este UID e DROP qualquer tráfego de saída. ou bloquear apenas para saída tcp / 80 e tcp / 22 ou algo assim ....