Я использую ubuntu на своем ноутбуке с подключением EDGE. У меня нет компьютеров в локальной сети.
Впервые это произошло случайно, когда я оставил на ноутбуке общую папку после офиса и обнаружил ее зараженной. После этого я пытался воспроизвести проблему, и каждый раз это происходит:
Если я делюсь папкой с разрешениями samba и Guest Read + Write (777), через некоторое время (варьируется, иногда пару часов, иногда больше) я начинаю видеть странные файлы, как показано ниже:
-r-xr - r-- 1 никто nogroup 0 2010-08-19 23:19 ctf
-rw-r - r-- 1 никто nogroup 337103 04-08-2004, 00:10 dnpdwh.exe
-r-xr - r-- 1 никто nogroup 0 2010-08-20 05:45 khx
-r-xr - r-- 1 никто nogroup 0 2010-08-19 20:14 khy
-rw-r - r-- 1 никто nogroup 596628 14-04-2008, 22:01 mzbxsv.exe
-rw-r - r-- 1 никто nogroup 510302 04-08-2004 19:50 uxnpfo.exe
Я всегда могу удалить их, но они продолжают появляться, я не знаю, откуда они пришли и даже почему.
[РЕДАКТИРОВАТЬ]: Проблема заключалась в том, что Samba прослушивала общедоступный IP-адрес, а затем с 777 я приглашал неинициализированных в мою систему, которые хотя это были окна и, таким образом, сбрасывались вирусами. Исправлено при изменении конфигурации самбы на:
interfaces = 127.0.0.0/8 eth0
bind interfaces only = yes
в
/etc/samba/smb.conf
с последующим
/etc/init.d/smbd restart
Проблема была очевидна из записей журнала в /var/log/samba/log.IP_HERE
Это также было очевидно, поскольку Samba не использовала none и nogroup для записи файлов в общедоступные ресурсы для записи.
МММ, я бы порекомендовал вам несколько вещей:
ищите признаки странных процессов с помощью chkrootkit ( http://www.chkrootkit.org )
Выполните сканирование портов с помощью nmap с другой машины, чтобы убедиться, что ничего не открыто или что у вас есть что-то еще безопасное.
Проверьте правила вашего брандмауэра и внесите изменения, если вы видите, что он слишком широк для посторонних
Проверьте свою samba conf и ограничьте ее известными IP-адресами, которые у вас есть, если вы не передаете данные кому-либо еще, это не позволит посторонним использовать ее.
Не уверен, что это будет проблемой для вас, но вы также можете настроить samba на использование паролей для доступа / создания данных, то есть при условии, что файлы создаются третьей стороной, а не в вашей собственной системе, но затем проверять, не ваша система имеет руткит, как указано выше, было бы лучше всего.