Странный процесс или руткит, кладет сеть...

Отключил все лишнии процессы, все равно продолжается

Нужно установить продукт лаборатории Касперского.

Найди, где лежат эти бинарники.

Учитывая что оно работает от рута, то тебя спасет только реинсталл.

Ты член ботнета

ps faux | grep tlyhszajff

покажет откуда это фигня запустилась.

Ничего не показывает...

ps faux | grep qhgoabhint
root     10146  0.0  0.0   7680   620 pts/0    S+   19:15   0:00          \_ grep qhgoabhint

Так в этом и загвоздка, как найти?

Поставь auditd

Можна задействовать средства аудита, например, TOMOYO.

rkhunter, chkrootkit — авось чо найдут, но от переустановки и расследования это тебя не освобождает, правда судя по созданной теме, тебе придётся сильно поднапрячься для этого.

rkhunter, chkrootkit — авось чо найдут, но от переустановки и расследования это тебя не освобождает, правда судя по созданной теме, тебе придётся сильно поднапрячься для этого.

не найдут. только грузить систему с рескью образа, и выпиливать бинарники и из крона. после этого система будет чистая. и да - бинарники защищены от удаления, нужно с них снять эти флаги сначала.

пруф на «не найдут», да и после расследования один хрен надо всё переустанавливать, а не вычищать.

я с пол года назад чистил один из серверов. это кусок ботнета, автоматически заливаемый когда пароли на ssh ставят типа qwerty123.

чистится элементарно.

и переустанавливать это для слабаков. в случае пакетного дистра проще проверить все контрольные суммы, или вы про локалхост сервер имеете в виду?

в случае пакетного дистра проще проверить все контрольные суммы,

Разумеется, с другой системы? Пакетный менеджер может быть тоже заражен.

Разумеется, с другой системы? Пакетный менеджер может быть тоже заражен.

так точно.

Так в этом и загвоздка, как найти?

htop -p $PID

уже не в моде у нонешней молодежи?

И откуда ты такой умный?

Еслиб я знал что именно и где именно этот процесс находится, то ужеб вырезал..

Переустанавливать нет, и наче бы и не писал сюда, нужно имеенно найти и обезвредить...

вот правильно подметил) переустанавливать для слабоков, этож не шиндовс) Ток как почистить так и не понял... Можно побольше конкретики если не сложно...

Переустанавливать нет, и наче бы и не писал сюда, нужно имеенно найти и обезвредить...

Бред какой. Если какой-то вредоносный процесс получил рута - все, пиши пропало. У тебя нет никаких гарантий, что в системе сейчас нет руткита и он подменяет выхлоп, который ты увидишь от той или иной утилиты.

Как минимум лечить надо из другой системы, а не из текущей.

Ну еще бы не рута.. у меня все под рутом всегда.. да да плохо и тд. но хом сервер я не заморачиваюсь.. как и с паролем..

Бред не бред, но все же..

Допустим я хочу лечить из текущей системы.. какие действия я могу попробовать предпринять?

Умрет так умрет переустановлю.. но принципиально хочу эту чинить)

Ну еще бы не рута.. у меня все под рутом всегда.. да да плохо и тд. но хом сервер я не заморачиваюсь.. как и с паролем..

Ты наркоман.

Допустим я хочу лечить из текущей системы.. какие действия я могу попробовать предпринять?

Убиться. Или пойти почитать, что такое руткит и как они работают.

элементарное lsof -p `pidof имя_процесса` покажет файлы

никаких гарантий чего бы то ни было, у рутового процесса абсолютные права в системе (если не используется selinux и ко.), то есть он может подменять и модифицировать любые вызовы и любой вывод

Попрошу без обзывательств, мой линукс как хочу так и ломаю..

Если не можете дать нормальный совет, то не надо из себя гуру тут строить...

Почитаю в сторону руткит...

Вот спасибо хоть какой то прогресс))

COMMAND     PID USER   FD   TYPE  DEVICE SIZE/OFF   NODE NAME
qhgoabhin 25544 root  cwd    DIR     8,2     4096 390922 /root
qhgoabhin 25544 root  rtd    DIR     8,2     4096      2 /
qhgoabhin 25544 root  txt    REG     8,2    69064 262408 /boot/qhgoabhint
qhgoabhin 25544 root  mem    REG     8,2  1729984    554 /lib/x86_64-linux-gnu/libc-2.19.so
qhgoabhin 25544 root  mem    REG     8,2   137439    558 /lib/x86_64-linux-gnu/libpthread-2.19.so
qhgoabhin 25544 root  mem    REG     8,2   140928    557 /lib/x86_64-linux-gnu/ld-2.19.so
qhgoabhin 25544 root    0u   CHR     1,3      0t0   1027 /dev/null
qhgoabhin 25544 root    1u   CHR     1,3      0t0   1027 /dev/null
qhgoabhin 25544 root    2u   CHR     1,3      0t0   1027 /dev/null
qhgoabhin 25544 root    3u  IPv4 2079935      0t0    UDP *:45643 

да да плохо и тд. но хом сервер я не заморачиваюсь

Ну вот и донезаморачивался.

Что верно, то верно) буду оккуратнее, а то домашний серв вот и расслабился..

вероятно подменены функции стандартной библиотеки, это самый простой вариант. стоило бы натравить на диск с этой инсталляцией какой-нибудь rkhunter, загрузившись с флешки.

поясняю для силачей:

1. руткит может быть не один. В прошлый раз в каждом из дебиянов, которые оставили по наследству, я выковырял по три руткита, из них два не палились ничем кроме rkhunter.

2. хрен знает, как на самом деле туда проблался именно этот руткит

3. кроме руткитов, в системе могли оставить модулей для джумлы, создать учётку пользователя или подсунуть доверенный ключ ssh руту.

По итогам, с умениями ТСа проще переставить систему.

упд: переставить систему вместо дебияна, почитать книжек и развить паранойю.

переставить систему вместо дебияна

При чем тут Debian? ТС пароль не осилил придумать и сидит под рутом, ССЗБ.

так совпало, что дебиян и дыры в безопасности это почти одно и то же. Ну может быть, я немного преувеличиваю, но совсем чуть.

Если можно, я бы хотел увидеть какие-нибудь пруфы, как то: независимые исследования; статистику взломов приложений, которые есть только в Debian; истории успеха и т.д.

это мои наблюдения — всем пруфам пруф.

на антивирь похоже лол. TrendMicro под вендой шифровался называя свой процесс рандомно.

а вообще медаль надо какую-то если сумел подцепить на домашний сервак.

янечитал, но даже сидя в гуях запущенных из-под рута на десктопе выступающим дом. сервером всё равно надо иметь еще более нестандартное мышление чтобы занести заразу. вот ты как себе это представляешь? разве что он беспарольной опой торчит в локальную сеть оператора где рыскают скрипткиддис.

разве что он беспарольной опой торчит в локальную сеть оператора где рыскают скрипткиддис.

Может и так. Может у него там крутилось на этом хосте что-то общедоступное, по-этому его «нашли» и просто попробовали «взломать» пароль. Может у него там сайт какой дырявый крутился или еще что-то подобное, а так как все работает под рутом (со слов ТСа) запустить там какую-нибудь заразу проблем не составило. Может сам какую ерунду занес.

какие команды еще предоставить?

На ум приходят

last

PID=пид_процесса
readlink -f /proc/$PID/cwd
readlink -f /proc/$PID/exe

А что же у нас тогда без дыр?) приведите пожалуйста примеры)

Накати gentoo-hardened, там вместо дыр вещи, которых ни один вирус даже теоретически ожидать не может. Всё остальное — игрушки. Хотя от троянов и прочей гадости не спасёт, например. Поэтому рекомендую отрастить мозг. Пригодится.

Обоснуй а то прям как молитва звучит, слова занятные - помогает слабо

Понятие «RBAC» о чём-нибудь говорит? В дополнение к этому, патчи grsecurity среди прочего заменяют уязвимые функции.

Понятие голой жопой в интернет, со слабым паролем рута о чемнить говорит?

Это уже личные половые проблемы. :> Сифилис там, или что для такого эффекта надо иметь.

О, ты наконец опроверг свое утверждение. Смена дистра проблему не решит

Я и не утверждал этого. (:

с твоими умениями всё дыряво, читай статьи, тексты и посты, развивай паранойю

http://apachan.net/thumbs/201303/08/c4sf3dsi304y.jpg

Ну еще бы не рута.. у меня все под рутом всегда.. да да плохо и тд. но хом сервер я не заморачиваюсь.. как и с паролем

Купить ружье побольше, стрелять в ноги дробью.

так совпало, что дебиян и дыры в безопасности это почти одно и то же. Ну может быть, я немного преувеличиваю, но совсем чуть.

Не чуть, а совсем.

Я бы загрузился с livecd какого-нибудь, подмонтировал дисочек и препарировал живчика! :)