Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
Ktos slyszal o tym chinskim malwerze?
Tu jest niby opisane jak to wszystko dziala, ale nie moge sie pokapowac jak sprawdzic czy to u mnie siedzi?
https://www.intezer.com/blog-hiddenwasp-malware-tar … inux-systems/
Offline
No najprościej to zrobić obraz pamięci RAM i potraktować go yarą wykorzystując tę regułę którą podali. Pytanie tylko jak zrobić zrzut pamięci RAM, bo np. u mnie się nie da czytać pliku /dev/mem . xD
Offline
Na razie zastosowalem takie dzialania:
sudo ufw deny from 103.206.123.13 to any sudo ufw deny from 103.206.122.245 to any
Problemem wydaje sie byc plik /etc/ld.so.cache gdzie panuje duzy balagan zwiazany z roznymi bibliotekami w wiekszosci polaczanych ze steamem.
Polecenie
cat /etc/ld.so.cache
wyplulo mi duuuuuzy rozgardiasz...
Ostatnio edytowany przez wikingagressor (2019-06-10 01:46:05)
Offline
Najpierw jest takie dziwne cos, a pozniej wypisane jest wiekszosc bibliotek zakonczonych na .so.
(cOc]c�c�c�c�c�c�cd$d=dIdod|d�d�d�d�deKeee�e�e�e�efIfYf�f�f�f�f�fgAgQg{g�g�g�g�gh-h;hchxh�h�h�h�hi,iSigi�i�i�i�i jj;jUj�j�j�j�jk'kSklk�k�k�k�kl)lOl_l�l�l�l�l�lm'm>mom�m�m�m�m�mn&nSnmn�n�n�n�n#o3o[opo�o�o�o�o p5pBpipvp�p�p�p�p qqCqSq}q�q�q�q�r;rTr�r�r�r�rs4ses|s�s�s�s�s(tOtat�t�t�t�tuu;uWu�u�u�u�u�uv/vBvovv�v�v�v�v ww9wHw`wlw�w�w�w�wxx2xCxnx}x�x�x�x�xyyByRy|y�y�y�y�y�y�z)zRzbz�z�z�z�z {{@{M{r{}{�{�{�{�{|@|O|x|�|�|�|�}0}D}_}q}�}�}�}�}~~.~<~d~{~�~�~�~,Fv���� �0�C�l������Ӏ��!�I�[�������������,�P�`�w����������#�6�P�a�������ʃ����$�7�A�e�r�����фބ��7�B�g�v�����߅��+�S�d�����ņ҆�� �7�G�q�������߇��%�:�i�����Ɉ�� �5�E�^�z��������"�7�f�r�����܊�Ս��:�N�|�����������)�L�W�|�����̏�� �0�@�d�t�������Č����!�:�U����� �6�D�l�}���������%�N�\�������Б���<�L�v������������(�P�b�����Ɠ֓��8�L�z���������4�H�v���Ε� �3�`�p�����ؖ��!�L�Z������������+�R�_�����Θ�� �H�V�~��������$�2�V�d�������̚��� �,�R�b�������˛���$�/�T�k���������/�Y�l�����ѝޝ��;�J�s�������Ԟ� ��@�L�r������؟��� �2�B�l�{�������:�W�����Щ��'�V�i�����Ϊ��/�d�����̫���<�Q�������լ��<�R�����ҭ�&�:�h�|�������.�C�r����������#�H�U�|�������Ӱ� ��I�X�����DZױ��I�T�y����������'�A�u������������-�Z�m�����δܴ��>�O�x�����˵���.�?�j�{���������2�`�t�����Է���B�O�v�����ĸ���2�A�j�����¹���$�5�Z�p�����Ժ����/�?�i����������-�U�c�������ȼ��-�>�i�v�����Ͻڽ���W�g�����Ѿ���I�Y�������¿���*�U�c����������� �5�D�m���������3�E�q����������� �I�\�����������G�X������������+�8�]�j����������� ��C�R�{�����������%�6�_�p��������� ��?�N�w�����������'�8�a�r����������� ���C�R�y������������0�[�l�����������E�W����������� �5��E�U�{����������+�K���������'�=�m�y����������$�M�b����������4�e�t������������D�U������������2�H�x��������%�T�f���������.�@�l����������4�E�p����������:�S������������<�P�~���������>�T����������%�R�o���������$�7�d�w���������$�7�d�w���������$�:�j����������D�[����������%�P�f���������&�8�d�w���������0�J�|��������'�T�t��������0�H�z��������J�]����������0�b��������6�J�v������������(�L�]������������&�K�^��������� �G�Y�������������#�/�S�i����������'�O�`������������7�I�o������������I�]��������� ��C�[������������A�Y�z��������� �:�X���������(�?�p����������&�:�h�|����������%�L�[���������,�=�h�y�����������>�L�t������������$�9�G�o���������?�O�y����������� �3�O�e������������%�;�Z�o�������������"�3�^�s���������(Bv�����$9hz���� 3`p���� J\����&Bv��� #Rg���� La����)Vi���� ) P ] � � � � � � ? O u � � � � � , Y i � � � � � 1 ? a o � � � � � � %L\������"0Xk����� 2Bl|����#N_�����:O~�����)P]������ @[����(Cx���=v�����L�`��������� 0@j|����&7bq�����2dy��� S���� BX����.:^h�����0Fv���� 2 ? f r � � � � !!F!T!z!�!�!�!�!�!"*"N"\"~"�"�"�"�"�"#+#T#b#�#�#�#�#�#$0$K$�$�$�$�$%%<%P%~%�%�%�%�%�%&&3&Z&l&�&�&�&�& '0'Z'h'�'�'�'�'�'(&(6(`(m(�(�(�(�(�()$)1)X)e)�)�)�)�)$*;*l*�*�*�*�*+4+O+�+�+�+�+ ,,:,J,t,�,�,�,�,�,--S-�-�-�-�-�-.<.P.|.�.�.�.�. /4/D/n/�/�/�/�/�/(040Z0f0�0�0�0�011@1O1x1�1�1�122@2X2u2�2�2�2 3353@3_3j3|3�3�3�3�3�34(4W4j4�4�4�4�4�4 565F5p5�5�5�566@6V6�6�6�6�6�67.7D7t7�7�7�7�7 808F8v8�8�8�8�8�8"9/9V9j9�9�9�9�9�9:>:M:v:�:�:�:�:�:(;5;\;k;�;�;�;�;�;</<@<k<|<�<�<�<�<'=7=a=n=�=�=�=�=>>A>U>>�>�>�>�?1?D?q??�?�?�?�?�?@(@:@f@x@�@�@�@�@A#ANA^A�A�A�A�A�A B:BIBrB�B�B�B�B�B C3C`CtC�C�C�C�C D1D\DoD�D�D�D�D(E@ErE�E�E�E�ERFeF�F�F�F�F�F�FG-GSGsG�G�G�G�GH%HOHbH~H�H�H�H�H�H�HI0IBI]ImI�IL%L5LNL\LsL�L�L�L�L�L)M<MXMgMM�M�M�M�MNAN\N�N�N�N�NOOGOYO�O�O�O�OPPEP\P�P�P�P�PQQ?QMQuQ�Q�Q�Q�Q�Q'RMR\R�R�R�R�R�R�RS$SISZS�S�S�S�ST"TOT\T�T�T�T�T�T U/U;UaU�U�U�UV+V[VoV�V�V�V�V WWAWKWkWuW�W�W�W�W�W�WX�X>XKXrX�X�X�X�X�XY*YPY\Y�Y�Y�Y�Y�YZ@ZQZxZ�Z�Z�[[N[p[�[�[�[\F\W\�\�\�\ ]D]d]�]�]�]^6^H^t^�^�^�^_#_P_j_�_�_�_�_,`G`|`�`�`�`�a4aha�a�a�a�a b@bSb�b�b�b�b"cAczc�c�c�cd4dfd�d�d�d&eBexe�e�e�e.fQf�f�f�fg@g\g�g�g�ghDh[h�h�h�h�h�i0i`i}i�i�i�ijLjaj�j�j�j�j*kGk~k�k�k�kl+lZlwl�l�l�l m<mLmvm�m�m�mn%nRnon�n�n�no@obo�o�o�op:pLpxp�p�p�p$q;}}I}Z}�}�}�}�}~"~O~b~�~�~�~�~*Yn������9�F�m�{�����ۀ���G�Y�������́��{e{u{�{�{�{�{-|Y|j|�|�|�|�| �=�N�y�����Â���#�2�[�g�����ǃփ���5�B�i�u�����τ܄��7�F�o�������ԅ��&�V�h�����Ԇ�� �H�Z�����·��%�L�X�~�������ވ� ��8�D�W�a�������ĉ���)�Q�]�����͊��%�U�g�������3�L����Ì�'�W�n�����ߍ��)�=�k�����Ǝ� �?�T�����͏��'�Y�m��������+�=�i�w�����ّ��A�M�s�����͒���+�6�[�g�������Ǔ���%�5�]�k�����͔ݔ��;�L�w�����Ǖ���!�.�U�`������������"�G�R�w�������A�M�s����������!�,�Q�\��������ݛ�ߙ� ���C�R�{����������&�K�V�{����������'�Q�a�������Ϟ�� �1�?�g�z��������!�/�W�c�������Ǡ����&�M�]�����áԡ��.�=�b�q�������Ƣܢ� ��:�C�f�r�����ܣ� �7�h����Ť���0�?�h�|�������2�H�x���¦��D�V�������ѧ��8�J�v�����Ϩ��@�V�������ѩ���<�M�x�����Ȫ���B�T�������ϫ���H�j���������(�P�a�����ѭ�� �2�D�p�����Ǯ���(�4�Z�o�����ܯ��,�B�r�������ް���G�V�}���űֱ��K�]��������-�F�y�����г��=�U�����Ŵڴ ��A�P�y����������6�i�����̶���C�T����շ�!�0�Y�h�����øи���1�@�i�z���������/�[�j�����Ӻ�3�e�y��������'�4�[�g�������ɼ����)�M�[�����ʽ� ��?�R������ξ�� �5�F�o�{�����ѿۿ�� �1�=�a�k�����������=�H�m�|����������'�Q�]���������������;�H�o�|��������� ���E�Q�w�����������)�Q�c������������+�=�i�u���������!�/�W�u��������_������� �!�Q�t������"�W�m�������S�l��������=�Y���������)�M���������1�F�u�������'�A�u��������4�k��������$�a�������� �5�J�f�y����������,�K�]�x��������������
Offline
Weź zapuść rkhuntera, żeby zobaczył, czy coś podejrzanego się nie pojawiło na dyziu.
Możesz też odpalić chkrootkit i zobaczyć, co ma do powiedzenia.
Zaprzyjaźnij się też z pstree, ten wyświetla drzewko procesów i potrafi wiele wyjaśnić.
Ostatnio edytowany przez Jacekalex (2019-06-09 22:38:41)
Offline
rkhunter wyplul mi takie cos:
Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: Perl script text executable
chkrootkit znalazl tylko to:
The following suspicious files and directories were found: /usr/lib/jvm/.java-1.11.0-openjdk-amd64.jinfo /usr/lib/jvm/.java-1.8.0-openjdk-amd64.jinfo /usr/lib/debug/.build-id /usr/lib/debug/.build-id
Offline
wikingagressor napisał(-a):
...
chkrootkit znalazl tylko to:Kod:
The following suspicious files and directories were found: /usr/lib/jvm/.java-1.11.0-openjdk-amd64.jinfo /usr/lib/jvm/.java-1.8.0-openjdk-amd64.jinfo /usr/lib/debug/.build-id /usr/lib/debug/.build-id
i tu prawdopodobnie siedzi malware.
Instalatory pakietów nie pakują tych pakietów do ukrytych katalogów i plików.
/usr/lib/jvm/.java-1.11.0-openjdk-amd64.jinfo /usr/lib/jvm/.java-1.8.0-openjdk-amd64.jinfo /usr/lib/debug/.build-id
/usr/lib/debug/.build-id
Na 99% to pliki twojego exploita.
Ukryte pliki i foldery w Linuxie mają nazwy zaczynające się od kropki.
Pewnie jeszcze coś siedzi w konfigach crona.
Zobacz, czy pstree pokaże jakieś podejrzane procesy.
Offline
Pytanko, czy kasowac te katalogi i czy moze odinstalowac wogole openjdk ?
Offline
Miałeś dać wynik pstree?
prawda?
Offline
Oki to jest wynik z pstree:
systemd─┬─ModemManager───2*[{ModemManager}] ├─NetworkManager─┬─2*[dhclient] │ └─2*[{NetworkManager}] ├─accounts-daemon───2*[{accounts-daemon}] ├─agetty ├─alsactl ├─avahi-daemon───avahi-daemon ├─cron ├─cups-browsed───2*[{cups-browsed}] ├─cupsd───dbus ├─dbus-daemon ├─exim4 ├─gnome-keyring-d───3*[{gnome-keyring-d}] ├─irqbalance───{irqbalance} ├─lightdm─┬─Xorg───2*[{Xorg}] │ ├─lightdm─┬─sh─┬─ssh-agent │ │ │ └─xfce4-session───xfce4-session─┬─applet.py │ │ │ ├─light-locker───3*[{light-locker}] │ │ │ ├─nm-applet───3*[{nm-applet}] │ │ │ ├─pidgin───3*[{pidgin}] │ │ │ ├─polkit-gnome-au───5*[{polkit-gnome-au}] │ │ │ ├─volumeicon───4*[{volumeicon}] │ │ │ ├─xfce4-clipman───2*[{xfce4-clipman}] │ │ │ ├─xfce4-panel─┬─firefox-esr─┬─Web Content───17*[{Web Content+ │ │ │ │ │ ├─2*[Web Content───22*[{Web Cont+ │ │ │ │ │ ├─Web Content───30*[{Web Content+ │ │ │ │ │ └─62*[{firefox-esr}] │ │ │ │ ├─panel-12-whiske─┬─sgt-mines───3*[{sgt-mines}+ │ │ │ │ │ └─3*[{panel-12-whiske}] │ │ │ │ ├─panel-20-system───3*[{panel-20-system}] │ │ │ │ ├─panel-22-weathe───{panel-22-weathe} │ │ │ │ ├─panel-23-xfce4-───2*[{panel-23-xfce4-}] │ │ │ │ ├─panel-28-dateti───3*[{panel-28-dateti}] │ │ │ │ ├─panel-29-xkb───2*[{panel-29-xkb}] │ │ │ │ ├─panel-3-systray │ │ │ │ ├─panel-39-screen───4*[{panel-39-screen}] │ │ │ │ ├─panel-55-xfce4-───3*[{panel-55-xfce4-}] │ │ │ │ ├─panel-57-notifi───2*[{panel-57-notifi}] │ │ │ │ └─5*[{xfce4-panel}] │ │ │ ├─xfdesktop───2*[{xfdesktop}] │ │ │ ├─xfwm4───{xfwm4} │ │ │ └─2*[{xfce4-session}] │ │ └─2*[{lightdm}] │ └─2*[{lightdm}] ├─minissdpd ├─monopd ├─nmbd ├─polkitd───2*[{polkitd}] ├─rsyslogd───3*[{rsyslogd}] ├─rtkit-daemon───2*[{rtkit-daemon}] ├─smartd ├─smbd─┬─cleanupd │ ├─lpqd │ └─smbd-notifyd ├─systemd─┬─(sd-pam) │ ├─at-spi-bus-laun─┬─dbus-daemon │ │ └─3*[{at-spi-bus-laun}] │ ├─at-spi2-registr───2*[{at-spi2-registr}] │ ├─dbus-daemon │ ├─dconf-service───2*[{dconf-service}] │ ├─goa-daemon───3*[{goa-daemon}] │ ├─goa-identity-se───3*[{goa-identity-se}] │ ├─gpg-agent │ ├─gvfs-afc-volume───3*[{gvfs-afc-volume}] │ ├─gvfs-goa-volume───2*[{gvfs-goa-volume}] │ ├─gvfs-gphoto2-vo───2*[{gvfs-gphoto2-vo}] │ ├─gvfs-mtp-volume───2*[{gvfs-mtp-volume}] │ ├─gvfs-udisks2-vo───2*[{gvfs-udisks2-vo}] │ ├─gvfsd─┬─gvfsd-trash───2*[{gvfsd-trash}] │ │ └─2*[{gvfsd}] │ ├─gvfsd-fuse───5*[{gvfsd-fuse}] │ ├─gvfsd-metadata───2*[{gvfsd-metadata}] │ ├─powerline-daemo │ ├─pulseaudio───4*[{pulseaudio}] │ ├─xfce4-notifyd───2*[{xfce4-notifyd}] │ └─xfconfd ├─systemd-journal ├─systemd-logind ├─systemd-timesyn───{systemd-timesyn} ├─systemd-udevd ├─udisksd───4*[{udisksd}] ├─upowerd───2*[{upowerd}] ├─wpa_supplicant ├─xfce4-power-man───2*[{xfce4-power-man}] └─xfsettingsd─┬─xfce4-terminal─┬─bash───sudo───pstree │ └─4*[{xfce4-terminal}] └─2*[{xfsettingsd}]
Offline
Po nazwach nie widzę podejrzanych procesów, ale malware potrafi się nieźle ukrywać.
Zainstaluj sobie Clamav, potem odpal kompa z LiveCD jakiegoś, wejdź do systemu głównego przez chroota, zaktualizuj bazę wirusów, główną i clamav-unofficial-sigs, następnie przeskanuj cały system na dyziu tym clamem, żeby wywalił wszystko, co uzna za podejrzane.
Wywal też te podejrzane lokalizacje, które wypisał chkrootkit, ale też z chroota,
bez uruchamiania systemu głównego na dysku.
Powinno pomóc.
Ostatnio edytowany przez Jacekalex (2019-06-11 14:22:24)
Offline
chroot na drugiej maszynie rkhunter+chkrootkit+unhide (brute+sys) i wireshark. Cholera jakim cudem coś złapałeś stary, może tmp miałeś montowany na lamera (bez flagi noexec) i coś skubnąłeś na homie wykonywalnego (ubuntu chyba na takie akcje pozwala bo na pewno nie debian)?
Ostatnio edytowany przez hi (2019-06-19 20:42:20)
Offline
Strony: 1