процесс zbind. что это?

сделай strings на бинарники. может, наведет на размышления.

увы, не навело.вот единственные осмысленные строки в коде кроме названий функций:
GLIBC_2.0
PTRh
WVSj
pqrstuvwxyzabcde
0123456789abcdef
/dev/ptmx
/dev/pty
/dev/tty
Daemon is starting...
OK, pid = %d
/dev/null
HOME=%s
Can't fork pty, bye!
/bin/sh
init.c
/usr/src/bs/BUILD/glibc-2.1.3/csu/
gcc2_compiled.
еще похоже что демон использует треды, т.к. там были упоминания pthread_* семейства функций.

ну в общем все плохо. :( насколько там видно, так как мало очень строк и присутствует /bin/sh вот ссылка с google, http://www.google.com/search?q=zbind%2C+linux&hl=en короче тебя походу сломали.

ты знаешь, я видел сайт этого axela. только блин я не умею читать по румынски к сожалению. странно что так мало ссылок на него гугл находит. кроме того судя по тому что ни страниц левых подложено не было ни в файловой системе ничего не поменялось - взлом удался не совсем. есть подозрение что эта хрень пыталась использовать ptrace exploit чтобы стать рутом потому что strings на второй файл - zero показывает: root@web:~/.a/za# strings -a zero | grep -i ptrace ptrace PTRACE_GETREGS ptrace.c ptrace@@GLIBC_2.0 т.е. похоже ничего страшного не произошло. ptrace закрыт, 4000 порт заблокирован. вопрос как эту хрень туда удалось записать и запустить. так же хорошо бы понять что эта хрень должна делать. есть спецы которые в код могут заглянуть? также нашел в логах файрвола заблокированные попытки обращения на 4000 порт с какого-то румынского адреса - 194.105.2.63. в логах апача ничего подозрительного обнаружить не удалось. апач был 1.3.26. на всяк случай проапгрейдил до 1.3.27. php 4.3.1. какие-нить идеи?

ну в общем тебе не помешало бы прочитать http://www.cert.org/tech_tips/win-UNIX-system_compromise.html там рассказываются шаги которые необходимо предпринять. :) У меня был случай последний раз когда я переставлял сервер (а это второй раз с момента его установки в 1999 - redhat 6.1, переставился на redhat 7.3, хотя можно было бы все и по старому оставить, просто винт сдох зараза :) ) короче на не пропатченный сервер, ко мне пришел червяк apache_SSL который, так я что сразу сделал, сервер отключил от интернета и начал расскапывать, что откуда и так далее, пока все не разузнал :)