[FUG-BR] Rootkit derrubando apache e consumindo a cpu
Saul Figueiredo
saulfelipecf em gmail.com
Sábado Março 17 16:00:29 BRT 2012
Em 17 de março de 2012 15:58, Marcelo Gondim <gondim em bsdinfo.com.br>escreveu:
> Em 17/03/2012 15:34, Saul Figueiredo escreveu:
> > *
> > Algo derruba o meu apache e não deixa eu o subir nem FU###¨%¨@
> >
> > [root em mail1 ~]# ps auxw |grep ww
> > www 6698 0.0 0.0 5244 4008 ? Ss Mar01 0:42 bash
> > www 10246 0.0 0.0 5776 4620 ? Ss Mar05 0:30 bash
> > www 12036 0.0 0.0 2056 780 ? Ss Mar05 0:00 -bash
> > www 12345 0.0 0.0 2056 704 ? Ss Mar05 0:00 -bash
> > root 24554 0.0 0.0 4020 700 pts/2 S+ 15:32 0:00 grep ww
> > www 29241 0.0 0.0 2056 760 ? Ss Mar04 0:00 -bash
> > www 30894 99.9 0.0 5332 2916 ? R Mar16 1362:26 -
> >
> > O Apache só sobe quano eu mato o processo **30894, o comando executado
> > segundo o ps é o "-"
> >
> > seria algum rootkit? alguem ja viu isso?
> > **
> >
> >
> >
> > *
> Você pode estar com algum script botnet rodando nesse seu servidor. Isso
> acontece quando não se faz certas proteções no php e também quando a
> página não está bem programada.
> Você pode ver onde está o cara fazendo: procstat -f <pid>
>
> Nesse seu caso seria: procstat -f 30894
>
>
>
> -------------------------
> Histórico: http://www.fug.com.br/historico/html/freebsd/
> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
>
Bom, acabei de ver o motivo.... Anonymous
ve ai o que os caras colocaram na minha home page: www . hertapecalier .
com.br
--
"Deve-se aprender sempre, até mesmo com um inimigo."
(Isaac Newton)
Atenciosamente,
Saul Figueiredo
Analista FreeBSD/Linux
Linux Professional Institute Certification Level 2
saulfelipecf em gmail.com
saul-felipe em hotmail.com
Mais detalhes sobre a lista de discussão freebsd