hack serveru (spam zombie?)

[Lubomir Host]

On Wed, May 27, 2009 at 09:55:22AM +0200, Cizek.Milan wrote:
> Ahoj,
> děje se mi na jednom serveru taková nepříjemná věc. V určitém časovém intervalu se mi spouští nějaké perl skripty - pod uživatelem www, které podle sockstat generují trafic na smtp servery. Ve vypisu procesu je videt vzdy jen 1 podezrely soubor, jehoz nazev je vzdy jiny (nahodny), ale na disku se nikde nenachazi.

Remountni /tmp s noexec volbou a prelez logy apache.
grep -ir include /var/log/apache
grep -ir =http:  /var/log/apache

a deravy php skript musis mat za chvilku
identifikovany.

rajo

-- 
  ,''`.  Lubomir Host 'rajo' <rajo AT platon.sk>    ICQ #:  257322664
 : :' :  Jabber: rajo AT jabber.platon.sk      VoIP: callto://rajo207
 `. `'   WWW: http://rajo.platon.sk/  Platon Group: http://platon.sk/
   `-    GnuPG key: DC0C C7EA 55C8 B089 C41D 944A F251 A93A 2361 A82F