Назад | Перейти на главную страницу

Хост говорит, что сервер поражен вредоносным ПО, кто-нибудь знает это? Что делать?

Мой хост отправил уведомление о том, что сервер заражен вредоносной программой, которая не кажется очень популярной. На сайте Symantec об этой вредоносной программе в качестве целей указаны машины с Windows, но не CentOS.

За последние 24 часа аналитики Symantec обнаружили вредоносное ПО, настроенное для связи с ресурсами в вашей сети. Вредоносные программы и связанные с вами ресурсы перечислены ниже.

Обнаружение MD5 Описание ASN b83ff89585d668c3ca96b34b44da4093 Backdoor.Graybird! Gen 16265 www.dymll.com, 82.192.XXX.XXX, 82.192.XXX.0 / 19, ripencc, NL, FIBERRING LeaseWeb B.V., NL

Пожалуйста, используйте эту информацию для расследования потенциальных злоупотреблений в вашей сети и принятия корректирующих мер на основе ваших собственных внутренних процедур.

Возможно, ваш сервер запускает не саму вредоносную программу, а сервер управления и ретрансляции. Вам следует тщательно проверить свой сервер на наличие программного обеспечения, которое вы не устанавливали. Вполне возможно, что ваш сервер на самом деле не заражен, но вредоносная программа все равно пытается связаться с вашим сервером, и это было обнаружено.

Без полноты вы должны хотя бы выполнить следующие проверки:

  • Откройте порты прослушивания с помощью netstat -nlp
  • Полное сканирование открытых портов (например, с помощью nmap)
  • chkrootkit и / или rkhunter
  • Запуск процессов с помощью ps auwfx
  • Проверяйте сетевой трафик на наличие подозрительных пакетов.

Если вы не знаете, как их читать, вам понадобится помощь профессионального системного администратора Linux, чтобы исправить это, и вы, вероятно, пересмотрите вариант запуска сервера без надлежащих знаний. Не существует полностью готового автоматизированного решения для удаления бэкдоров со 100% точностью.