Processo com nome aleatório estranho, consumindo recursos significativos de rede e CPU. Alguém está me invadindo?
Em uma VM em um provedor de nuvem, estou vendo um processo com nome aleatório estranho. Consome recursos significativos de rede e CPU.
Veja como é o processo da pstreevisualização:
Anexei ao processo usando strace -p PID. Aqui está a saída que eu tenho: https://gist.github.com/gmile/eb34d262012afeea82af1c21713b1be9 .
Matar o processo não funciona. De alguma forma (via systemd?) Ressuscitou. Veja como fica do ponto de vista do systemd ( observe o endereço IP estranho na parte inferior):
— gmile
A resposta para "Alguém está me invadindo?" sempre é "Sim", a verdadeira questão é "Alguém conseguiu me hackear?".
a palavra é 'cracking' ou 'penetrating', ou 'commandeering', não necessariamente 'hacking'
@ can-ned_food Me disseram isso há cerca de 15 anos. Levei um tempo para perceber que a distinção é um monte de besteira e "hacking" significa absolutamente a mesma coisa. Mesmo que não fosse esse o caso em 1980, a linguagem certamente mudou o suficiente para ser agora.
— Jpmc26 10/0318
@ jpmc26 Pelo que entendi, Hacking é o termo mais amplo: um hacker também é qualquer programador que trabalha com o código desleixado de outra pessoa.
@ can-ned_food Ele pode ser usado dessa maneira, mas é muito mais comumente usado para descrever o acesso não autorizado. É quase sempre claro do contexto o que se entende.
eyshcjdmzgé um Trojan DDoS Linux (facilmente encontrado através de uma pesquisa no Google). Você provavelmente foi hackeado.
Coloque esse servidor offline agora. Não é mais seu.
Leia com atenção o seguinte ServerFault Q / A com cuidado: Como lidar com um servidor comprometido .
Observe que, dependendo de quem você é e de onde é, você também pode ser legalmente obrigado a relatar esse incidente às autoridades. Este é o caso se você estiver trabalhando em uma agência governamental na Suécia (por exemplo, uma universidade), por exemplo.
Como posso matar o malware minerd em uma instância do AWS EC2? (servidor comprometido)
Precisa de ajuda para entender comandos SSH suspeitos
Se você também atende clientes holandeses e armazena informações pessoais (endereços IP, e-mails, nomes, lista de compras, informações de cartão de crédito, senhas), é necessário denunciá-las para datalekken.autoriteitpersoonsgegevens.nl/actionpage?0
@tschallacka certamente o endereço IP sozinho não é considerado PII? Praticamente todos os Webserver em qualquer lugar armazena endereços IP em um de seus logs de acesso
@DarrenH Estou assumindo que cobriria "dados que podem ser usados ​​para identificar uma pessoa" etc. Os logs geralmente não são vistos como esse tipo de dado AFAIK, mas pode ser diferente se um endereço IP for explicitamente armazenado em um banco de dados como parte de um registro de conta.
Isso faz sentido. Graças para o esclarecimento
Na Holanda, somos obrigados a mascarar todos os octetos antes de enviá-los para o Google, porque todo o intervalo se enquadra nas informações pessoais, porque podem ser verificadas com outros registros. Um hacker pode verificar com outros logs para rastrear suas atividades. Então, sim, suas informações Persal completo como um endereço real
Sim. Uma pesquisa no google por eyshcjdmzg indica que seu servidor foi comprometido.
Consulte Como faço para lidar com um servidor comprometido? sobre o que fazer sobre isso (em resumo, limpe o sistema e reinstale-o do zero - você não pode confiar em nada nele. Espero que você tenha backups de dados e arquivos de configuração importantes)
Você pensaria que eles se incomodariam em aleatoriamente o nome em cada sistema infectado, mas aparentemente não.
@immibis Pode ser uma abreviação, significativa apenas para os autores. o DMZbit é um acrônimo real. shpode significar "concha" e eypode ser "olho" sem o "e", mas estou apenas especulando.