lpd worm 에 감염된듯 합니다.
글쓴이: sc1991 / 작성시간: 토, 2006/07/29 - 7:37오후
시스템은 gentoo 2006.0 입니다..
lpd worm 에 걸린듯 한데... 변경된 파일은 없는거 같고..
삭제하는 방법을 모르겠습니다...
웹서비스 서버로 사용하고 있어 시스템에 LPD 관련 프로그램 설치한적은 없는것 같은데...
(apache,php,mysql,proftp,qmail 등...)
프로그램들은 항상 최신버전으로 유지했는데도 그러네요...
(emerge -u world, emerge -u system 기준..)
웜 삭제 하는 방법이 없을까요... 포멧말고 ㅠㅠ
도와주세요...
Searching for LPD Worm files and dirs... Possible LPD worm installed
llls ~ # ps aux USER PID %CPU %MEM VSZ RSS TTY STAT START TIME COMMAND root 1 0.0 0.1 1480 508 ? Ss 19:13 0:00 init [3] root 2 0.0 0.0 0 0 ? SN 19:13 0:00 [ksoftirqd/0] root 3 0.0 0.0 0 0 ? S< 19:13 0:00 [events/0] root 4 0.0 0.0 0 0 ? S< 19:13 0:00 [khelper] root 5 0.0 0.0 0 0 ? S< 19:13 0:00 [kthread] root 7 0.0 0.0 0 0 ? S< 19:13 0:00 [kblockd/0] root 8 0.0 0.0 0 0 ? S< 19:13 0:00 [kacpid] root 74 0.0 0.0 0 0 ? S< 19:13 0:00 [kseriod] root 123 0.0 0.0 0 0 ? S 19:13 0:00 [pdflush] root 124 0.0 0.0 0 0 ? S 19:13 0:00 [pdflush] root 125 0.0 0.0 0 0 ? S 19:13 0:00 [kswapd0] root 126 0.0 0.0 0 0 ? S< 19:13 0:00 [aio/0] root 127 0.0 0.0 0 0 ? S< 19:13 0:00 [xfslogd/0] root 128 0.0 0.0 0 0 ? S< 19:13 0:00 [xfsdatad/0] root 770 0.0 0.0 0 0 ? S< 19:13 0:00 [kpsmoused] root 777 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 778 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 890 0.0 0.1 1708 540 ? S<s 19:14 0:00 /sbin/udevd --daemon root 1854 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 1855 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 1860 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 1861 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 1866 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 1867 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 1872 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 1873 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 1878 0.0 0.0 0 0 ? S< 19:14 0:00 [xfsbufd] root 1879 0.0 0.0 0 0 ? S< 19:14 0:00 [xfssyncd] root 2856 0.0 0.1 1524 556 ? Ss 19:14 0:00 /usr/sbin/syslogd -m 0 root 2872 0.0 0.2 2140 1152 ? Ss 19:14 0:00 /usr/sbin/klogd -c 3 -2 root 2899 0.0 2.2 20940 11516 ? Ss 19:14 0:00 /usr/local/apache/bin/httpd -k start root 3391 0.0 0.0 1636 244 ? Ss 19:14 0:01 /sbin/dhcpcd -h llls.net eth0 mysql 3420 0.3 6.1 145844 30996 ? Ssl 19:14 0:05 /usr/sbin/mysqld --defaults-file=/etc/mysql/my.cnf --basedir=/usr --datadir=/ nobody 3502 0.0 0.2 3868 1160 ? Ss 19:14 0:00 proftpd: (accepting connections) root 3548 0.0 0.2 3480 1044 ? Ss 19:14 0:00 /usr/sbin/sshd root 3591 0.0 0.0 1496 352 ? Ss 19:14 0:00 /usr/bin/svscan /service root 3627 0.0 0.0 1332 300 ? S 19:14 0:00 supervise qmail-send root 3628 0.0 0.0 1332 300 ? S 19:14 0:00 supervise log root 3629 0.0 0.0 1332 300 ? S 19:14 0:00 supervise qmail-smtpd root 3630 0.0 0.0 1336 304 ? S 19:14 0:00 supervise log root 3631 0.0 0.0 1332 300 ? S 19:14 0:00 supervise qmail-pop3d root 3632 0.0 0.0 1336 304 ? S 19:14 0:00 supervise log root 3633 0.0 0.0 1544 484 ? S 19:14 0:00 /usr/bin/tcpserver -vHRl 0 -x /etc/tcprules.d/tcp.qmail-smtp.cdb -c 40 0.0.0. qmaill 3635 0.0 0.0 1340 300 ? S 19:14 0:00 /usr/bin/multilog t s2500000 n10 /var/log/qmail/qmail-smtpd qmails 3636 0.0 0.0 1516 388 ? S 19:14 0:00 qmail-send root 3638 0.0 0.0 1544 492 ? S 19:14 0:00 /usr/bin/tcpserver -vHRl 0 -x /etc/tcprules.d/tcp.qmail-pop3.cdb -c 40 0.0.0. qmaill 3640 0.0 0.0 1344 300 ? S 19:14 0:00 /usr/bin/multilog t s2500000 n10 /var/log/qmail/qmail-send root 3641 0.0 0.1 1736 664 ? Ss 19:14 0:00 /usr/sbin/cron qmaill 3650 0.0 0.0 1344 296 ? S 19:14 0:00 /usr/bin/multilog t s2500000 n10 /var/log/qmail/qmail-pop3d root 3658 0.0 0.1 1612 696 tty1 Ss+ 19:14 0:00 /sbin/agetty 38400 tty1 linux root 3659 0.0 0.1 1616 700 tty2 Ss+ 19:14 0:00 /sbin/agetty 38400 tty2 linux root 3660 0.0 0.1 1616 700 tty3 Ss+ 19:14 0:00 /sbin/agetty 38400 tty3 linux root 3661 0.0 0.1 1612 696 tty4 Ss+ 19:14 0:00 /sbin/agetty 38400 tty4 linux root 3670 0.0 0.1 1616 700 tty5 Ss+ 19:14 0:00 /sbin/agetty 38400 tty5 linux root 3671 0.0 0.1 1612 696 tty6 Ss+ 19:14 0:00 /sbin/agetty 38400 tty6 linux root 3683 0.0 0.0 1480 336 ? S 19:14 0:00 qmail-lspawn ./.maildir/ qmailr 3684 0.0 0.0 1480 332 ? S 19:14 0:00 qmail-rspawn qmailq 3685 0.0 0.0 1464 332 ? S 19:14 0:00 qmail-clean nobody 9233 1.6 6.6 264064 33900 ? Sl 19:38 0:01 /usr/local/apache/bin/httpd -k start nobody 9262 1.7 6.4 261808 32540 ? Sl 19:38 0:01 /usr/local/apache/bin/httpd -k start root 9322 0.0 0.4 6304 2056 ? Ss 19:39 0:00 sshd: root@pts/0 root 9328 0.1 0.3 3816 1788 pts/0 Ss 19:39 0:00 -bash root 9346 0.0 0.1 2736 940 pts/0 R+ 19:40 0:00 ps aux
llls ~ # uname -a Linux llls.net 2.6.17.7 #1 Sat Jul 29 18:51:25 KST 2006 i686 Intel(R) Celeron(R) CPU 2.80GHz GNU/Linux
chkrootkit 결과
llls ~ # chkrootkit ROOTDIR is `/' Checking `amd'... not found Checking `basename'... not infected Checking `biff'... not found Checking `chfn'... not infected Checking `chsh'... not infected Checking `cron'... not infected Checking `date'... not infected Checking `du'... not infected Checking `dirname'... not infected Checking `echo'... not infected Checking `egrep'... not infected Checking `env'... not infected Checking `find'... not infected Checking `fingerd'... not found Checking `gpm'... not infected Checking `grep'... not infected Checking `hdparm'... not infected Checking `su'... not infected Checking `ifconfig'... not infected Checking `inetd'... not tested Checking `inetdconf'... not found Checking `identd'... not found Checking `init'... not infected Checking `killall'... not infected Checking `ldsopreload'... not infected Checking `login'... not infected Checking `ls'... not infected Checking `lsof'... not infected Checking `mail'... not found Checking `mingetty'... not found Checking `netstat'... not infected Checking `named'... not found Checking `passwd'... not infected Checking `pidof'... not infected Checking `pop2'... not found Checking `pop3'... not found Checking `ps'... not infected Checking `pstree'... not infected Checking `rpcinfo'... not infected Checking `rlogind'... not found Checking `rshd'... not found Checking `slogin'... not infected Checking `sendmail'... not infected Checking `sshd'... not infected Checking `syslogd'... not infected Checking `tar'... not infected Checking `tcpd'... not infected Checking `tcpdump'... not infected Checking `top'... not infected Checking `telnetd'... not infected Checking `timed'... not found Checking `traceroute'... not found Checking `vdir'... not infected Checking `w'... not infected Checking `write'... not infected Checking `aliens'... no suspect files Searching for sniffer's logs, it may take a while... nothing found Searching for HiDrootkit's default dir... nothing found Searching for t0rn's default files and dirs... nothing found Searching for t0rn's v8 defaults... nothing found Searching for Lion Worm default files and dirs... nothing found Searching for RSHA's default files and dir... nothing found Searching for RH-Sharpe's default files... nothing found Searching for Ambient's rootkit (ark) default files and dirs... nothing found Searching for suspicious files and dirs, it may take a while... /usr/lib/.keep /usr/lib/perl5/vendor_perl/5.8.7/i686-linux/auto/Test/Simple/.packlist /usr/lib/perl5/vendor_perl/5.8.7/i686-linux/auto/Locale/gettext/.packlist /usr/lib/perl5/vendor_perl/5.8.7/i686-linux/auto/Net/Daemon/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/RPC/PlServer/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/DBI/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Test/Harness/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Pod/Parser/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Net/SSLeay/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Net/LDAP/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Net/IP/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Net/DNS/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/XML/Generator/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/XML/Parser/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Compress/Zlib/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/IO/Zlib/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/IO/String/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/IO/Socket/INET6/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/IO/Socket/SSL/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Archive/Tar/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Socket6/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Crypt/SSLeay/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/HTML/Tagset/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/HTML/Parser/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/URI/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/HTML-Tree/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/libwww-perl/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Convert/ASN1/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Digest/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Digest/SHA1/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Digest/HMAC/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Digest/Nilsimsa/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/DBD/mysql/.packlist /usr/lib/perl5/vendor_perl/5.8.8/i686-linux/auto/Mail/SpamAssassin/.packlist /usr/lib/perl5/5.8.8/i686-linux/.packlist /usr/lib/locale/.keep /usr/lib/openldap/openldap/.keep /lib/udev-state/.keep /lib/rcscripts/awk/.keep /lib/dev-state/.keep Searching for LPD Worm files and dirs... Possible LPD worm installed Searching for Ramen Worm files and dirs... nothing found Searching for Maniac files and dirs... nothing found Searching for RK17 files and dirs... nothing found Searching for Ducoci rootkit... nothing found Searching for Adore Worm... nothing found Searching for ShitC Worm... nothing found Searching for Omega Worm... nothing found Searching for Sadmind/IIS Worm... nothing found Searching for MonKit... nothing found Searching for Showtee... nothing found Searching for OpticKit... nothing found Searching for T.R.K... nothing found Searching for Mithra... nothing found Searching for OBSD rk v1... nothing found Searching for LOC rootkit... nothing found Searching for Romanian rootkit... nothing found Searching for Suckit rootkit... nothing found Searching for Volc rootkit... nothing found Searching for Gold2 rootkit... nothing found Searching for TC2 Worm default files and dirs... nothing found Searching for Anonoying rootkit default files and dirs... nothing found Searching for ZK rootkit default files and dirs... nothing found Searching for ShKit rootkit default files and dirs... nothing found Searching for AjaKit rootkit default files and dirs... nothing found Searching for zaRwT rootkit default files and dirs... nothing found Searching for Madalin rootkit default files... nothing found Searching for Fu rootkit default files... nothing found Searching for ESRK rootkit default files... nothing found Searching for anomalies in shell history files... nothing found Checking `asp'... not infected Checking `bindshell'... not infected Checking `lkm'... chkproc: nothing detected Checking `rexedcs'... not found Checking `sniffer'... eth0: PF_PACKET(/sbin/dhcpcd) Checking `w55808'... not infected Checking `wted'... chkwtmp: nothing deleted Checking `scalper'... not infected Checking `slapper'... not infected Checking `z2'... chklastlog: nothing deleted Checking `chkutmp'... chkutmp: nothing deleted
Forums:
chkrootkit을 너무 신봉하지 마세요.
chkrootkit은 셸 스크립트로, "그렇게 똑똑한 녀석" 이 아닙니다.
다 잡아낼 수도 없을 뿐 더러, 오진의 가능성이 있죠. 그래서 "Possible" 이라고 하는겁니다.
다만 "가능성이 있으니 점검해보라" 라는 차원의 일면으로, 침탈당한 흔적이 있을때 어떤 녀석이 띄워져 있는지를 확인하는 차원에서 사용하는 것이지요.
말씀하신 LPD Worm 부분을 검사하는 chkrootkit 스크립트입니다.
### LPD Worm if [ "${QUIET}" != "t" ]; then \ printn "Searching for LPD Worm files and dirs... "; fi if ${egrep} "^kork" ${ROOTDIR}etc/passwd > /dev/null 2>&1 || \ ${egrep} "^666" ${ROOTDIR}etc/inetd.conf > /dev/null 2>&1 ; then echo "Possible LPD worm installed" elif [ -d ${ROOTDIR}dev/.kork -o -f ${ROOTDIR}bin/.ps -o \ -f ${ROOTDIR}bin/.login ]; then echo "Possible LPD worm installed" else if [ "${QUIET}" != "t" ]; then echo "nothing found"; fi fi위의 셸 스크립트와 같이, /etc/passwd 쪽에 kork로 시작하는 사용자명이 있거나, 혹은 inetd.conf 에 666[:num:]... 으로 시작하는 포트가 띄워지도록 되어 있거나,
(여기에 검사방법에 대한 허점이 있습니다.)
그것도 아니면 /dev/.kork 파일이 있거나, /bin/.ps 파일이 있거나, /bin/.login 파일이 있을때 "Possible LPD worm installed" 메시지가 뜨도록 되어 있습니다.
먼저 상단의 부분을 "직접" 눈으로 확인해보세요. /etc/passwd를 열어 kork로 시작하는 사용자명이 있거나,
netstat -napt 로 열려있는 TCP포트를 확인하세요.
(뭐 사실 마음먹고 침탈했다면 netstat도 변경되었을테니 사실은 타 시스템에서 nmap으로 긁어보는게 가장 확실할 것입니다.)
그런 다음, /dev 디렉토리나 /bin 디렉토리로 "직접" 들어가서, 파일을 직접 억세스해보세요.
ls나 ps 등은 이미 "제 기능을 할 수 없다" 라고 생각하시고 접근하세요. (관리자가 의도하던 대로 나오지 않을거라는 뜻입니다.)
파일의 경우.... live cd 등으로 시스템을 부팅하신 다음 하드를 마운트한 후 찾아보는 방법도 좋겠습니다.
파일이 하나라도 억세스 되거나, "의도하지 않은' 포트가 listen 중이라던지, 정황증거가 들어맞을때 "감염 여부"에 대한 결론을 내리시길 바랍니다.
그런 다음, 패키지 복구를 다루자면...
젠투를 사용하신다면, epm을 사용하여 패키지 검사를 해 볼 수 있을 것입니다.
ps의 경우 procps 패키지를, ls 등의 경우 coreutils 패키지를 사용할테니, epm을 사용하여 다음 명령어를 수행, 점검하도록 합니다.
(일단 서버 침탈 후에 변경하는 패키지중 상위 우선순위에 포함되는 것들입니다. epm이 없다면 "emerge epm" 8-) 으로 설치하시길 바랍니다. )
뭔가 파일이 변경되었으면 해당 파일과 변경사항을 알려줄 것입니다. 결과에 대한 세부 사항은 다음의 페이지를 참고하시길 바랍니다:
http://www.rpm.org/max-rpm/s1-rpm-verify-output.html
변경된 패키지가 있으면 변경된 패키지를 복구해주세요. (다시 emerge를 써서 엎으시던지 등등.. 많은 방법이 있겠지요.)
그런 다음, 앞에서 언급한, chkrookkit이 찾던 파일이 있다면 찾던 파일을 지워주시고.. 시스템 구동 스크립트를 뒤져서 "의도하지 않는 스크립트나 명령어" 가 실행되는지 확인하세요. 파일명이나 디렉토리명이 . 으로 시작하는 곳에서 뭔가를 실행하려 한다던지... 하면 냄새가 나겠지요?
(뭐 이 부분은 epm -V baselayout 으로 baselayout을 점검해보시면 뭔가 손쉽게 가닥이 나오겠지요....)
그런 부분을 모두 찾아보면 "웜이나 LKM을 다시 띄우는 프로그램/스크립트"를 대부분 찾아낼 수 있습니다. 그 부분을 삭제하시던지 백업하시던지는 자유...일테구요.
그렇게 시스템 구동때 부터 뭔가 실행하는 것들을 배제해나가면 최소한 "관리자가 원하는 대로" 작동할 수 있는 범위가 구성됩니다.
그런 다음은 본격적인 노가다죠. 뭔가 확실한것만 남기고 나머지 의심가는 부분은 search & destroy.... 가 될껍니다.
(이 과정에서 많은 툴들을 찾아보실 수 있습니다. clamav 같은 안티바이러스 툴이라던지.. 등등)
뭐 극단적인 방법이라면 패키지를 emerge로 다시 엎어버리는 방법도 있겠지만- 권장하지는 않습니다. 그런다고 있던게 없어진다는 보장이 100% 되는게 아니니깐요.
사실 이러한 방법은 모든 경우에 적합하다고 할 수 없고, 가장 이상적인 방법은 데이터 백업후 새로 설치하는게 될 것입니다.
덧붙여서 말하자면... 일반적으로, 웜이나 LKM 모듈이나, 웹서비스를 방해하는 것이 아닌
시스템에 대한 권한 상승을 노리거나 기타 불순한 의도가 있을때는 재부팅 후에도 해당 커널모듈이나 프로그램, 데몬등이 수행될 수 있도록
하는 경우가 대부분을 차지합니다. 이게 (로그를 제외하고) 유력한 단서가 되기 때문에, 평소에는 tripwire나 /etc 이하를 md5 스트링을 뽑아 보관하는 등
파일 변화에 대한 감시/추적을 쉽게 할 수 있도록 준비하시는게 올바른 답일 것입니다.
(뭐 사실 이것 말고도 해줘야 하는 일이 많습니다만..-_-; 그냥 해줘야 하는 많은일들의 일부에 불과한거죠.)
----
It's Friday I want to play,
on Saturday don't want to stay, at home
thinking of you
so let me party all night long.
from m-flo, Come again lyrics
http://luna.onionmixer.net
후으.. 읽기만
후으.. 읽기만 햇는데도 부담감 이빠시네요.. ㅡ.,ㅡ;
그냥 백업좀 자주 하고 의심되는 상황이 오면 갈아엎는게 속 편할것같아요..
---------------------------------------
http://www.waitfor.com/
http://www.textmud.com/
....
LunA_Jh 님 감사합니다..
결과는 오진이였군요.. -_ -;;
kork** 로 시작하는 사용자가 있어서..
답변 감사드리며 ^^ 차후 비슷한 상황이 오면 활용해야죠 ^^;;
-----
http://llls.net
댓글 달기