안녕하세요. 도움이 필요합니다...
지금 현재 리눅스 서버를 이용중에 있습니다.
perl 공격을 받고 있는데요...
아래 첨부한 이미지를 보시면 프로세서에 항상 상주하면서 점유율이 높은 두놈이 있습니다.
요놈들 때문에 트래픽 초과 과금이 엄청 나왔다더라구요. 기본 트래픽이 5MB 라는데..;;
이놈들을 죽여도 하루정도 지나면 다시 살아나요...
아무래도 주기적으로 실행되는 스크립트가 있는 것 같은데요.
의심이 되는 부분이 있어 tmp 폴더를 뒤져보니
...으로 숨겨진 폴더가 있더라구요.. 안에는 몇몇 폴더랑 파일이 있구요. 그외에
/dev/shm/ 폴더도 뒤져보고 권한이 777인 폴더 다 뒤져봐도...없습니다...
그래서 그 폴더 까지 삭제를 해도 다음날이면 또 같은 곳에 생깁니다...
아래 첨부한 이미지들도 보시고 말씀 좀 부탁드리겠습니다...
나름 생각한 방법은 지금 문제가 되는 부분이 저희 서버에서 87.246.212.121 요놈 으로 계속 패킷이 전송되서 트래픽이 유발된다고 알고 있어서 87.246.212.121 쪽으로 나가는 것을 아에 막아 버리면 과다 트래픽은 발생하지 않을까 하는 생각입니다.
그래서 iptables 로 사용해서 막는다면 어떻게 막아야하는지...다른 방법이 있다면 무엇인지...
도와주시면 감사하겠습니다... 꼭 부탁드립니다.
안녕하세요. 도움이 필요합니다...
지금 현재 리눅스 서버를 이용중에 있습니다.
perl 공격을 받고 있는데요...
아래 첨부한 이미지를 보시면 프로세서에 항상 상주하면서 점유율이 높은 두놈이 있습니다.
요놈들 때문에 트래픽 초과 과금이 엄청 나왔다더라구요. 기본 트래픽이 5MB 라는데..;;
이놈들을 죽여도 하루정도 지나면 다시 살아나요...
아무래도 주기적으로 실행되는 스크립트가 있는 것 같은데요.
의심이 되는 부분이 있어 tmp 폴더를 뒤져보니
...으로 숨겨진 폴더가 있더라구요.. 안에는 몇몇 폴더랑 파일이 있구요. 그외에
/dev/shm/ 폴더도 뒤져보고 권한이 777인 폴더 다 뒤져봐도...없습니다...
그래서 그 폴더 까지 삭제를 해도 다음날이면 또 같은 곳에 생깁니다...
아래 첨부한 이미지들도 보시고 말씀 좀 부탁드리겠습니다...
나름 생각한 방법은 지금 문제가 되는 부분이 저희 서버에서 87.246.212.121 요놈 으로 계속 패킷이 전송되서 트래픽이 유발된다고 알고 있어서 87.246.212.121 쪽으로 나가는 것을 아에 막아 버리면 과다 트래픽은 발생하지 않을까 하는 생각입니다.
그래서 iptables 로 사용해서 막는다면 어떻게 막아야하는지...다른 방법이 있다면 무엇인지...
도와주시면 감사하겠습니다... 꼭 부탁드립니다.
전체댓글수 2
bookworm12-05-07 11:16
소스보기
이미 백도어로 의심되는 것이 설치됐다면 100% 확실히 정상적으로 복구하는 방법은 없습니다. OS를 클린 설치하는 것만이 해결책입니다.
트래픽이 발생하는 부분은 말씀 하신대로 iptables로 아웃바운드를 막으면 되겠지만 공격자가 다시 풀어버릴 듯 합니다.
이미 백도어로 의심되는 것이 설치됐다면 100% 확실히 정상적으로 복구하는 방법은 없습니다. OS를 클린 설치하는 것만이 해결책입니다.
트래픽이 발생하는 부분은 말씀 하신대로 iptables로 아웃바운드를 막으면 되겠지만 공격자가 다시 풀어버릴 듯 합니다.
귀염태연12-05-14 09:41
소스보기
답변 감사드립니다. 일단 나가는 패킷을 막아 버렸습니다. 추후에 또 다른 아이피로 패킷이 나간다면 OS 재설치를 얘기해봐야 겠습니다.
답변 감사드립니다. 일단 나가는 패킷을 막아 버렸습니다. 추후에 또 다른 아이피로 패킷이 나간다면 OS 재설치를 얘기해봐야 겠습니다.
