महत्वपूर्ण नेटवर्क और सीपीयू संसाधनों का उपभोग करने वाले अजीब यादृच्छिक नाम के साथ प्रक्रिया। क्या कोई मुझे हैक कर रहा है?

एक क्लाउड प्रदाता पर एक वीएम में, मैं अजीब यादृच्छिक नाम के साथ एक प्रक्रिया देख रहा हूं। यह महत्वपूर्ण नेटवर्क और सीपीयू संसाधनों की खपत करता है।

यह pstreeदेखने की प्रक्रिया इस प्रकार है :

systemd(1)───eyshcjdmzg(37775)─┬─{eyshcjdmzg}(37782)
                               ├─{eyshcjdmzg}(37783)
                               └─{eyshcjdmzg}(37784)

मैं का उपयोग कर प्रक्रिया से जुड़ा strace -p PID। यहाँ मुझे मिला आउटपुट है: https://gist.github.com/gmile/eb34d262012afeea82af1c21713b1be9 ।

प्रक्रिया को मारना काम नहीं करता है। यह किसी तरह (सिस्टमड के माध्यम से?) पुनर्जीवित है। यहां देखें कि यह सिस्टम बिंदु से कैसा दिखता है ( नीचे की ओर अजीब आईपी पता नोट करें ):

$ systemctl status 37775
● session-60.scope - Session 60 of user root
   Loaded: loaded
Transient: yes
  Drop-In: /run/systemd/system/session-60.scope.d
           └─50-After-systemd-logind\x2eservice.conf, 50-After-systemd-user-sessions\x2eservice.conf, 50-Description.conf, 50-SendSIGHUP.conf, 50-Slice.conf, 50-TasksMax.conf
   Active: active (abandoned) since Tue 2018-03-06 10:42:51 EET; 1 day 1h ago
    Tasks: 14
   Memory: 155.4M
      CPU: 18h 56min 4.266s
   CGroup: /user.slice/user-0.slice/session-60.scope
           ├─37775 cat resolv.conf
           ├─48798 cd /etc
           ├─48799 sh
           ├─48804 who
           ├─48806 ifconfig eth0
           ├─48807 netstat -an
           ├─48825 cd /etc
           ├─48828 id
           ├─48831 ps -ef
           ├─48833 grep "A"
           └─48834 whoami

Mar 06 10:42:51 k8s-master systemd[1]: Started Session 60 of user root.
Mar 06 10:43:27 k8s-master sshd[37594]: Received disconnect from 23.27.74.92 port 59964:11:
Mar 06 10:43:27 k8s-master sshd[37594]: Disconnected from 23.27.74.92 port 59964
Mar 06 10:43:27 k8s-master sshd[37594]: pam_unix(sshd:session): session closed for user root

क्या हो रहा है?!

centos systemd process

— gmile
स्रोत

"क्या कोई मुझे हैक कर रहा है?" हमेशा "हां" होता है, असली सवाल यह है कि "क्या कोई मुझे हैक करने में सफल रहा है?"।

— १

शब्द 'क्रैकिंग' या 'पेनेट्रेटिंग', या 'कमांडिंग' है, जरूरी नहीं कि 'हैकिंग'

— कैन-नेड_फूड

@ कैन-नेड_फूड मुझे बताया गया कि लगभग 15 साल पहले। भेद होने का एहसास होने में मुझे थोड़ा समय लगा और यह हॉगवॉश का एक गुच्छा है और "हैकिंग" का मतलब बिल्कुल यही है। यहां तक कि अगर 1980 में ऐसा नहीं था, तो भाषा निश्चित रूप से काफी बदल गई है कि यह अब है।

— jpmc26

@ jpmc26 मैंने जो समझा, उसमें से हैकिंग एक व्यापक शब्द है: एक हैकर किसी भी ओल 'प्रोग्रामर है जो किसी और के मैला कोड पर काम करता है।

— -18

@ can-ned_food इसका उपयोग उस तरह से किया जा सकता है, लेकिन अनधिकृत पहुंच का वर्णन करने के लिए इसका अधिक उपयोग किया जाता है। यह लगभग हमेशा संदर्भ से स्पष्ट है कि इसका क्या मतलब है।

— jpmc26

जवाबों:

138

eyshcjdmzgलिनक्स DDoS ट्रोजन (आसानी से Google खोज के माध्यम से पाया जाता है)। आप संभवतः हैक कर लिए गए हैं।

अब उस सर्वर को ऑफ लाइन लें। यह अब तुम्हारा नहीं है।

कृपया निम्नलिखित सर्वरफॉल्ट क्यू / ए को ध्यान से पढ़ें: समझौता किए गए सर्वर से कैसे निपटें ।

ध्यान दें कि आप कौन हैं और आप कहां हैं, इसके आधार पर, आप इस घटना को अधिकारियों को रिपोर्ट करने के लिए कानूनी रूप से बाध्य हो सकते हैं। यह मामला है यदि आप स्वीडन में एक सरकारी एजेंसी (जैसे एक विश्वविद्यालय) में काम कर रहे हैं, उदाहरण के लिए।

सम्बंधित:

— कुसलानंद
स्रोत

यदि आप डच ग्राहकों की भी सेवा करते हैं, और आप व्यक्तिगत जानकारी (आईपी एड्रेस, ईमेल, नाम, खरीदारी सूची, क्रेडिट कार्ड की जानकारी, पासवर्ड) संग्रहीत करते हैं, तो आपको इसे datalekken.autoriteitpersoonsgegevens.nl

— actionpage

@tschallacka निश्चित रूप से अकेले IP पते को PII नहीं माना जाता है? बहुत ज्यादा हर वेबसर्वर कहीं भी आईपी पते को स्टोर करता है, यह एक्सेस लॉग में है

— डैरेन एच

@DarrenH मैं यह मान रहा हूं कि यह "डेटा को कवर करेगा जिसका उपयोग किसी व्यक्ति की पहचान करने के लिए किया जा सकता है" आदि लॉग आमतौर पर इस प्रकार के डेटा AFAIK के रूप में नहीं देखे जाते हैं, लेकिन यह भिन्न हो सकता है यदि कोई IP पता स्पष्ट रूप से किसी डेटाबेस में संग्रहीत है एक खाते के रिकॉर्ड के हिस्से के रूप में।

— कुसलानंद

यह समझ आता है। स्पष्टीकरण के लिए धन्यवाद

— डेरेन एच

नटरलैंड्स में हमें Google भेजने से पहले सभी ओकटेट्स को मास्क करना आवश्यक है क्योंकि पूरी रेंज व्यक्तिगत जानकारी के अंतर्गत आती है, क्योंकि इसे अन्य रिकॉर्ड के साथ क्रॉसचेक किया जा सकता है। एक हैकर आपकी गतिविधियों को ट्रैक करने के लिए अन्य लॉग के साथ क्रॉसचेक कर सकता है। तो हाँ, इसकी पूरी तरह से वास्तविक जानकारी की तरह पूरी जानकारी

— Tschallacka

हाँ। Eyshcjdmzg के लिए एक Google खोज इंगित करती है कि आपके सर्वर से समझौता किया गया है।

देखें कि मैं एक समझौता किए गए सर्वर से कैसे निपटूं? उस बारे में क्या करना है (संक्षेप में, सिस्टम को मिटा दें और स्क्रैच से फिर से इंस्टॉल करें - आप इस पर कुछ भी भरोसा नहीं कर सकते। मुझे आशा है कि आपके पास महत्वपूर्ण डेटा और कॉन्फ़िगर फ़ाइलों का बैकअप है)

— कैस
स्रोत

आपको लगता है कि वे प्रत्येक संक्रमित सिस्टम पर नाम को यादृच्छिक करने के लिए परेशान करेंगे, लेकिन स्पष्ट रूप से नहीं।

— इबिसिस

@ आईमिसिस यह केवल लेखकों के लिए सार्थक एक संक्षिप्त नाम हो सकता है। DMZबिट कोई वास्तविक संक्षिप्त रूप है। sh"शेल" का मतलब हो सकता है और ey"ई" के बिना "आंख" हो सकता है, लेकिन मैं सिर्फ अटकलें लगा रहा हूं।

— Kusalananda

@ कुसलानंद मैं "ई विदाउट ई शैल सीजे डिमिलिटरीकृत ज़ोन जी ट्रोजन" कहूँगा, न कि एक बुरा नाम।

— द-विन्ह VO

@ द-विन्हो वास्तव में जीभ से

— लुढ़कता है