Processo Travando a Internet

fabiano duarte
(usa Debian)

Enviado em 28/01/2015 - 15:23h

Boa tarde pessoal, eu tinha postado este tópico na área de redes até que então descobri o problema e resolvi postar aqui. Tenho um firewall (Debian 7) e nele está rodando um processo que fica consumindo 100% da cpu, o nome do processo agora está como cwsnvmlmkk dou um kill no processo e ele volta com outro nome, voltou como pbbxyjgaxr, quando conecto a placa da internet no modem, roteador ou até em um switch da HP que tenho aqui o equipamento cai na hora, executei o comando tcptrack e a placa que vai para internet aparece com mais de 50.000 conexões. Instalei o clamav antivirus mas nada de remover...Por favor preciso de uma ajuda para remover este processo do meu servidor. Obrigado.

smarcell
(usa Slackware)

Enviado em 28/01/2015 - 17:48h

Pelo jeito seu servidor foi invadido! Use alguma ferramenta do tipo "rootkit" para realizar uma varredura no sistema em busca de problemas.

removido
(usa Nenhuma)

Enviado em 28/01/2015 - 17:58h

Não há garantias de que um rootkit scanner ou qualquer outra ferramenta consigam corrigir os problemas do seu sistema. Desligue-o da internet e monte outro servidor. Não esqueça de pré-analisar qualquer backup que por ventura você venha a restaurar no novo servidor.

fabiano duarte
(usa Debian)

Enviado em 28/01/2015 - 19:21h

Pelo jeito vou ter que reinstalar tudo mesmo, usei o rkhunter e o chkrootkit, encontraram ameaças, removi o diretório mas mesmo assim não resolveu. No começo deste mês tive este mesmo problema e como não tinha encontrado a causa fiz a formatação do servidor, vou instalar o Debian 6 só depois que atualizei para o 7 que começou isso...Obrigado.

removido
(usa Nenhuma)

Enviado em 28/01/2015 - 19:55h

O problema com este procedimento é que não haverá como rastrear qual foi a vulnerabilidade explorada e isto pode continuar ocorrendo.

fabiano duarte
(usa Debian)

Enviado em 28/01/2015 - 20:07h

Penso que pode ter sido o ssh, utilizo ele como root para administração, o que vou fazer é trocar de porta e utilizar certificado...