Вынесли сервер

[InventoR]

Судя по всему в субботу вынесли сервак.
Колупания в системные найдено следующее:

Код: Выделить всё

10:47 root@mx [tmp]#10:47 root@mx [.bash_history]#ll
total 660k
-rwxr-xr-x    1 www      wheel           0 Feb  2 10:41 1
-rwxr-xr-x    1 www      wheel          64 Sep  9  2007 DDos.seen
-rw-r--r--    1 www      wheel         532 Feb  2 10:41 Flewd-.seen
-rwxr-xr-x    1 www      wheel           0 Sep  1  2006 Floodu.seen
-rwxr-xr-x    1 www      wheel        8.7k Jan 24  2006 b
-rwxr-xr-x    1 www      wheel         19k May 10  2005 b2
-rwxr-xr-x    1 www      wheel        260k May 10  2005 bang.txt
-rwxr-xr-x    1 www      wheel        8.5k Jan 24  2006 f
-rwxr-xr-x    1 www      wheel         14k Nov  3  2005 f4
-rwxr-xr-x    1 www      wheel         178 Jan 23 06:09 fwd
-rwxr-xr-x    1 www      wheel        148k Jun  1  2001 httpd
-rwxr-xr-x    1 www      wheel         11k May 30  2005 j
-rwxr-xr-x    1 www      wheel         13k May 30  2005 j2
-rwxr-xr-x    1 www      wheel         22k Jul 30  2004 mech.help
-rw-r--r--    1 www      wheel        1.0k Feb  2 10:41 mech.levels
-rwxr-xr-x    1 www      wheel           6 Jan 29 22:08 mech.pid
-rw-r--r--    1 www      wheel         264 Feb  2 10:41 mech.session
-rwxr-xr-x    1 www      wheel         453 Jan 23 06:08 mech.set
-rwxr-xr-x    1 www      wheel         15k Feb 20  2005 s
-rwxr-xr-x    1 www      wheel         16k Sep 19  2002 sl
-rwxr-xr-x    1 www      wheel          67 Jul 30  2004 start.sh
-rwxr-xr-x    1 www      wheel         15k Sep  2  2004 std
-rwxr-xr-x    1 www      wheel        8.6k Jan 24  2006 stream
-rwxr-xr-x    1 www      wheel        6.9k Jan 24  2006 tty
-rwxr-xr-x    1 www      wheel         13k Nov 20  2002 v
-rwxr-xr-x    1 www      wheel         14k Jul 22  2005 v2
-rwxr-xr-x    1 www      wheel         915 Mar  2  2005 x
10:47 root@mx [.bash_history]#

при

Код: Выделить всё

last pid: 98865;  load averages:  1.00,  1.00,  1.00                                                                                                     up 6+13:11:57  10:31:27
170 processes: 4 running, 165 sleeping, 1 zombie
CPU states:  4.7% user,  0.0% nice, 45.0% system,  0.0% interrupt, 50.3% idle
Mem: 548M Active, 652M Inact, 185M Wired, 44M Cache, 112M Buf, 67M Free
Swap: 4000M Total, 98M Used, 3902M Free, 2% Inuse

  PID USERNAME   THR PRI NICE   SIZE    RES STATE  C   TIME   WCPU COMMAND
54498 www          1 115    0  1536K   544K CPU1   1  60.3H 98.93% s
 2317 root        12  96    0 15724K  4832K select 0  33:57  0.29% netams
 2323 root         4  81  -15 14992K 12312K select 0 652:51  0.00% ipcad
 1571 mysql       10   4    0 73776K 36544K sbwait 0  10:41  0.00% mysqld
 1730 squid        1   4    0   320M   276M kqread 0  10:17  0.00% squid
 2330 icecast      7   8    0 15128K  1988K nanslp 0   5:26  0.00% icecast
 1803 root         1   8    0  4956K  1276K nanslp 0   2:23  0.00% monit

думаю что делать дальше.
исходящий трафик за субботу с этого сервера составил
140гиг, при входящем на 400кб.
канал подключен 2мегабита

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[manefesto]

кули....
смотри ластлогин
/var/log/auth
делай ssh аутентификаю по pam ключам.
Доступ для рута по ssh разрешен ?
Смотри активный процессы.
Рубай их.
Пересобирай мир со всеми портами.
читай маны по securelevel

[terminus]

А что за uname -a ? Какие функции он выполнял при жизни? И действительно какой доступ был по ssh (root, пароли/ключи)? Часто ли обновляли систему фиксами или не обновляли с момента установки?

[manefesto]

мля....убежал обновлять удаленные серваки

[InventoR]

ну судя по тому какие файлы в tmp и от чьего имени они созданы.
ломали через apache вероятней всего.

[InventoR]

ну вот и дальше
было использовано.

Код: Выделить всё

http://www.euruchess.org/cgi-bin/twiki/bin/view/TWiki/TWikiSiteTools

остается разобраться как защититься.
ip мудака:

Код: Выделить всё

222.122.47.173

короче. надо латать апач и раундкуб.

[manefesto]

корейцы тебя сломали
порты обновляй чаще