Взлом системы

Систему заново поставить не предлагать

А почему собственно? Бинарники и ядро накатить из реп вполне нормально.

я систему обновлял очень давно (года 2 назад т.к. ввязался в 1С и до этого уже руки не доходят). Если обновиться я думаю геммора будет столько что .....

надо было посмотреть откуда стартует процесс какие фалы юзает.

Смотри, кто эти процессы форкает.

Систему заново поставить не предлагать :-)

Если нет идей, как вредонос попал в систему, то это тебе и не поможет.

http://www.linuxcenter.ru/lib/articles/system/bulgar.phtml

Обновляться в любом случае надо, иначе потом снова что-нибудь схватишь.

как бы не совсем пойму как ибо имя то у него всегда разное.

ps afx ?

lsof -i

sockstat

lsof -p `pidof злаякака`

Куда копать подскажите???

Сперва найти список всего что имеет бит исполнимости и при этом не относится ни к одному из установленных в систему ebuild-ов. Ну а дальше ты понял да?

Прод сервер на генту. А гента это там, где все компилять надо и набор средств резработчика всегда стоит ? Для удобства злоумышленников ? Куда копать, говоришь ?

http://screencloud.net/v/ob8H Вот что получается в boot лежит файл что выполняется, я его оттуда удалю после этого кильну процесс с пидом процесса что и имя файла после этого все заново, в Boot снова ляжет файл и именем и все заново

ls -la /proc/8653/ | grep exe

или

readlink -f /proc/8653/exe

Только бэкап данных которые еще остались и перестановка. Просто уже нет гарантии, что ssh к которому ты подключился, действительно твой ssh, а не другой бинарник. Твой top тоже может уже не принадлежать тебе и т.д.
Думаю, ход моих мыслей понятен.

Я понял ход мыслей, понять что мое а что не мое не получится т..к нет того с чем можно сравниться

readlink -f /proc/11042/exe /boot/uhsgnhuytd все ведет на файл в /boot вопрос как он туда попадает??

veltonwhserver ~ # ls -la /proc/11042 total 0 dr-xr-xr-x 7 root root 0 Oct 29 12:05 .

dr-xr-xr-x 211 root root 0 Oct 29 2014 ..

dr-xr-xr-x 2 root root 0 Oct 29 12:17 attr

-r-------- 1 root root 0 Oct 29 12:17 auxv

-r--r--r-- 1 root root 0 Oct 29 12:17 cgroup

--w------- 1 root root 0 Oct 29 12:17 clear_refs

-r--r--r-- 1 root root 0 Oct 29 12:17 cmdline

-rw-r--r-- 1 root root 0 Oct 29 12:17 coredump_filter

-r--r--r-- 1 root root 0 Oct 29 12:17 cpuset

lrwxrwxrwx 1 root root 0 Oct 29 12:06 cwd -> /

-r-------- 1 root root 0 Oct 29 12:17 environ

lrwxrwxrwx 1 root root 0 Oct 29 12:05 exe -> /boot/uhsgnhuytd dr-x------ 2 root root 0 Oct 29 12:06 fd

dr-x------ 2 root root 0 Oct 29 12:06 fdinfo

-r--r--r-- 1 root root 0 Oct 29 12:17 io

-r-------- 1 root root 0 Oct 29 12:17 limits

-rw-r--r-- 1 root root 0 Oct 29 12:17 loginuid

-r--r--r-- 1 root root 0 Oct 29 12:06 maps

-rw------- 1 root root 0 Oct 29 12:17 mem

-r--r--r-- 1 root root 0 Oct 29 12:17 mountinfo

-r--r--r-- 1 root root 0 Oct 29 12:17 mounts

-r-------- 1 root root 0 Oct 29 12:17 mountstats

dr-xr-xr-x 9 root root 0 Oct 29 12:05 net

-rw-r--r-- 1 root root 0 Oct 29 12:17 oom_adj

-r--r--r-- 1 root root 0 Oct 29 12:17 oom_score

-r-------- 1 root root 0 Oct 29 12:17 pagemap

-r-------- 1 root root 0 Oct 29 12:17 personality

lrwxrwxrwx 1 root root 0 Oct 29 12:06 root -> /

-r--r--r-- 1 root root 0 Oct 29 12:17 schedstat

-r--r--r-- 1 root root 0 Oct 29 12:17 sessionid

-r--r--r-- 1 root root 0 Oct 29 12:17 smaps

-r-------- 1 root root 0 Oct 29 12:17 stack

-r--r--r-- 1 root root 0 Oct 29 12:05 stat

-r--r--r-- 1 root root 0 Oct 29 12:05 statm

-r--r--r-- 1 root root 0 Oct 29 12:17 status

-r-------- 1 root root 0 Oct 29 12:17 syscall

dr-xr-xr-x 6 root root 0 Oct 29 12:17 task

-r--r--r-- 1 root root 0 Oct 29 12:17 wchan

вот такой список

Более того, поднять все заново займет меньше времени, чем разобраться с тем, что реально могло быть скомпрометировано. Хотя с точки зрения, любопытства я бы порекомендовал, сохранить все любопытные вещи отдельно, для последующего изучения.
И да пожалуй первое, что нужно было сделать, это переставить пакет ssh в в твоем дистрибутиве, поменять порт ssh со стандартного, если он вдруг у тебя висит на стандартном, и дропнуть в firewall'ом все порты кроме ssh, и возможно веб-сервера, если он критичен. Ну еще конечно, если простой скажем веб-сервера критичен, то можно поднять его на другом хосте, и поменять А записи на него. И спокойно уже заниматься со взломанным серваком.

Спасибо. Буду делать новый сервант. На какой ОС порекомендуете???

windows, у тебя не линуксячие привычки, используй систему с близкой тебе идеологией

То, с чем лучше разбираешься, дело вкуса, ну и конечно это должен быть GNU/Linux, мы ведь на лоре. А так им разницы нет, главное чтобы дистрибутива было свое сообщество, и в случае чего не пришлось очень сильно жалеть, что связался с продуктом, которым пользуются 2,5 человека и под который не выходят обновления безопасности.

откажись от проекта, пусть этим займется кто-то другой. Это кто-то другой уже не будет связан с предыдущей работой, и ему будет проще.

Поставить заново систему.

давно не обновлялись, попробуйте обновится

Твой совет не принят.

я систему обновлял очень давно (года 2 назад т.к. ввязался в 1С и до этого уже руки не доходят)

Какие сервисы смотрят в инет? Вангую шелшок.
Вначале нужно понять как оно проникло и закрыть дыру, иначе толку нет - даже если удалишь этого трояна, пролезет новый.

Есть apache, postfix,squid,ssh. На сейчас прибит порт 8004 и сетевой тафик исходящий в норме.

А запустите вот этот скриптик и посмотрите, что он вам выдаст

http://www.chokepoint.net/2014/02/detecting-userland-preload-rootkits.html