Обнаружил ботнет

1

8

Взломали мой сервак, кинули перловый скрипт. Скрипт является ботом, управляется по IRC. Зашел на IRC сервер в канал, а там их 1000шт. Что делать?

Ссылка

←	Формат зашифрованного письма, какой правильный?

Как можно выудить контакры скайп у того, кто в свою очередь находиться у тебя в контактах?

→

← 1 2 →

Ответ на: комментарий от zmitrok62 06.11.13 15:40:17 MSK

Скинь в паблик. Мне интересно.

IPR ★★★★★
(08.11.13 21:41:22 MSK)

Ответ на: комментарий от IPR 08.11.13 21:41:22 MSK

http://rghost.ru/50032382

zmitrok62
(08.11.13 21:50:49 MSK) автор топика

Ответ на: комментарий от zmitrok62 08.11.13 21:50:49 MSK

Благодарю, ещё бы исходники :)

IPR ★★★★★
(08.11.13 22:03:14 MSK)

Ответ на: комментарий от IPR 08.11.13 22:03:14 MSK

Какие? Если бота, то есть пример в начале топика. sshd видимо бинарником уже закинули.

zmitrok62
(08.11.13 22:06:13 MSK) автор топика

Ответ на: комментарий от zmitrok62 08.11.13 22:06:13 MSK

Благодарю, прошляпил.

IPR ★★★★★
(08.11.13 22:09:56 MSK)

Ссылка

Ответ на: комментарий от FreeBSD 07.11.13 10:15:03 MSK

FreeBSD

Какие люди! Хоть бы инфу в профиле обновил :)

IPR ★★★★★
(08.11.13 22:10:30 MSK)

Ссылка

Ответ на: комментарий от zmitrok62 08.11.13 21:08:03 MSK

Подменили sshd

Вот это уже плохо. Возможно, не только ssh тогда. Обычный пользователь это сделать не может, значит, есть уязвимость локальная. А если рута получили, то подменить могли что угодно. Как минимум, надо изучить возможности пакетного менеджера в плане проверки пакетов. Это уже теперь тоже не панацея, но хоть что-то...

AS ★★★★★
(08.11.13 22:59:34 MSK)

Ссылка

Ответ на: комментарий от zmitrok62 08.11.13 21:08:03 MSK

Система скомпрометирована, только ресетап, без вариантов.

zunkree ★
(09.11.13 00:50:48 MSK)

Ответ на: комментарий от zunkree 09.11.13 00:50:48 MSK

Люто, бешенно инкрементирую.
//код бота выкладывать собираешься или нет?)

NeverLoved ★★★★★
(09.11.13 00:57:00 MSK)

Ответ на: комментарий от zunkree 09.11.13 00:50:48 MSK

Система будет переставлена однозначно, но ей надо дожить несколько дней. Вот вам код бота:

Код бота

Файл палится оффтопиковыми антивирусами, Clamav'ом - нет. Пароль на архив «linux.org.ru». Адрес IRC сервера изменен на восьмерки. Ковыряйте, создавайте, ~~Отакуйте!~~

zmitrok62
(09.11.13 11:53:38 MSK) автор топика

Ссылка

Ответ на: комментарий от zmitrok62 08.11.13 20:55:39 MSK

У тебя что php от рута работал? Как взлом почтовой веб морды привел к таким прикольным последствиям?

invokercd ★★★★
(11.11.13 03:27:01 MSK)

Ответ на: комментарий от rezedent12 06.11.13 15:38:17 MSK

Твоя аватарка очень кстати к сообщению.

Chaser_Andrey ★★★★★
(11.11.13 03:28:14 MSK)

Ответ на: комментарий от Chaser_Andrey 11.11.13 03:28:14 MSK

Твоя аватарка очень кстати к сообщению.

Чем же?

~~rezedent12~~ ☆☆☆
(11.11.13 09:05:55 MSK)

Ссылка

Ответ на: комментарий от invokercd 11.11.13 03:27:01 MSK

Для тех кто ниасилил азбуку: взломали веб морду, кинули сплоит для поднятия прав.

zmitrok62
(11.11.13 09:30:38 MSK) автор топика

Ответ на: комментарий от zmitrok62 11.11.13 09:30:38 MSK

А кто писал про privilege escalation? Ты даже дистр и версию не указал.

invokercd ★★★★
(11.11.13 09:47:50 MSK)

Ответ на: комментарий от invokercd 11.11.13 09:47:50 MSK

А, сори, действительно не указал. Выяснил совсем недавно. Debian 6.0.2.

zmitrok62
(11.11.13 09:59:12 MSK) автор топика

Ссылка

Ответ на: комментарий от invokercd 11.11.13 09:47:50 MSK

Есть подозрение что заюзали вот это:

http://1337day.com/exploit/8149

zmitrok62
(11.11.13 10:03:18 MSK) автор топика

Ссылка

Ответ на: комментарий от zmitrok62 06.11.13 17:02:53 MSK

Да жулик конечно. Без может.

hibou ★★★★★
(11.11.13 10:10:14 MSK)

Ссылка

Ответ на: комментарий от NeverLoved 09.11.13 00:57:00 MSK

Орали неделю: «дай код бота, будем ковырять». 20 раз скачали и тишина...

zmitrok62
(12.11.13 16:05:28 MSK) автор топика

Ответ на: комментарий от zmitrok62 12.11.13 16:05:28 MSK

Ну надо же поорать.

teamfighter ★
(12.11.13 17:17:25 MSK)

Ссылка

Ответ на: комментарий от zmitrok62 12.11.13 16:05:28 MSK

Юзаем втихаря .... Интересно же!

black_13 ★
(12.11.13 18:58:46 MSK)

Ссылка

Ответ на: комментарий от zmitrok62 12.11.13 16:05:28 MSK

Так уже подправили и залили тебе - теперь не найдешь.

alozovskoy ★★★★★
(12.11.13 18:59:41 MSK)

Ответ на: комментарий от alozovskoy 12.11.13 18:59:41 MSK

Нашел. /dev/null твое?

zmitrok62
(12.11.13 20:48:25 MSK) автор топика

Ссылка

Ответ на: комментарий от zmitrok62 08.11.13 21:08:03 MSK

Поменял sshd на родной. Что примечательно, у родного и подмененного, размер файла байт в байт. Но MD5 не сходятся.

http://rghost.ru/50032382

А ты уверен что залил на rghost именно модифицированный бинарник?

Потому-что у залитого тобой бинарника MD5 и SHA1 совпадают с sshd из openssh-server_5.5p1-6_amd64.deb.

edigaryev ★★★★★
(14.11.13 11:17:29 MSK)

Ответ на: комментарий от edigaryev 14.11.13 11:17:29 MSK

Вроде да. Но вирусованный я в любом случае уже удалил =(

zmitrok62
(14.11.13 13:43:35 MSK) автор топика

Ссылка

Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.

← 1 2 →

←	Формат зашифрованного письма, какой правильный?

Как можно выудить контакры скайп у того, кто в свою очередь находиться у тебя в контактах?

→