Newsgroup: it.comp.os.linux.sys
Titolo: Processo che spamma

Buongiorno,
mi sono accorto che un server che ho in ufficio ha attivo un processo che 
spamma facendo traffico verso una macchina esterna, posto che lo ho staccato 
la macchina dalla rete, vorrei evitare di reinstallare il server da capo se 
possibile.
 
Il prolema si presenta perchè il processo che spamma ha un nome casuale
 
|-udevd---2*[udevd]
     |-utaipcytwb---4*[{utaipcytwb}]
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^
     |-xdm-+-X
     |     `-xdm
     `-zmntaxgkbh
^^^^^^^^^^^^^^^^^^^^
 
se lo uccido risorge con nome diverso in pochi secondi e mi ritrovo in boot 
questo
 
 
root@bagheera:~# ls -al /boot
total 31327
-rwxr-xr-x  1 root root  662840 Dec  9 09:27 utaipcytwb*
-rwxr-xr-x  1 root root  662840 Nov 30 10:21 zcupdtfpuu*
 
e in initrd 
 
root@bagheera:~# ls -al /etc/rc.d/init.d/
total 32
drwxr-xr-x  2 root root  4096 Dec  9 09:27 ./
drwxr-xr-x 10 root root  4096 Dec  9 09:36 ../
-rw-r--r--  1 root root   832 May 15  2007 README.functions
-rwxr-xr-x  1 root root 13913 May 15  2007 functions*
-rwxr-xr-x  1 root root   317 Dec  9 09:27 utaipcytwb*
 
non riesco a capire però chi rigenera il processo, cron puliti, ho cercato 
nei files modificati ma niente.
 
Conoscete il problema? ho un metodo applicabile?
 
Grazie assai
 
Umberto
 
 
 
 
 
 

 -rwxr-xr-x  1 root root   317 Dec  9 09:27 utaipcytwb*
 
 
Dato che i file qui sopra sono creati con permessi di root, reinstallare
è la tua unica possibilità, temo...
 


lo supponevo, però sarei curioso di sapere cosa rigenera il processo, perchè 
potrei ricopiarci sopra gli eseguibili salvando le cofigurazioni, ho paura 
però di riportarmi dietro qualcosa
 
Umberto

 lo supponevo, però sarei curioso di sapere cosa rigenera il processo,
 
Chi è il PPID?
 
-- 
Andrea
 

A occhio e da profano direi ci sono buone possibilità che ti abbiano 
"rootkittato" il server... prova a far girare rkhunter ma a questo punto 
(così come ti hanno già suggerito) credo ti convenga reinstallare e 
piuttosto verificare quale come abbiano fatto a bucarti (servizi esposti 
deboli?/password di default ecc...)
 
 
Ciao

 ho paura però di riportarmi dietro qualcosa
 
 
ammesso che scriva sempre in /boot (e chi te lo assicura):
- avvii l'audit
- auditctl -p /boot/ -p wa -k blabla
non so che succede se lo lanci sulla directory radice: 
- auditctl -w / -p wa -k eheh
 
anche io mi associo al coro di "reinstalla che è meglio" ^_^
 
p.s.: non prendere per oro colato quei comandi. Guarda tu stesso la man 
page. 
 
-- 
Massimiliano Adamo


sudo netstat -pa
 
vedi le connessioni con relativi processi
 

 vedi le connessioni con relativi processi
 
e vedrà socket/processi associati ai seguenti file:
 
-rwxr-xr-x  1 root root 13913 May 15  2007 functions*
-rwxr-xr-x  1 root root   317 Dec  9 09:27 utaipcytwb*
 
ma questo lo sa già :) 
 
Lui vuole sapere chi crea questi file e qui ti può venire in aiuto 
l'audit. 
 
-- 
Massimiliano Adamo


Se vede che non ho capito bene le sue esigenze allora
Se si vuole intercettare una create occorre l' audit
Oppure leggersi i vari sorgenti od usare inotify (la syscall)
 
Credo che esista anche un comando simile