(Solved) cannot execute binary file

[adjustman]

Hallo,

bei einem Freund von mir ist seit heute Abend folgendes aufgetreten:
Alle wichtigen Binarys können nicht mehr ausgeführt werden.

Als Bsp.:

Code: Select all

Starting amavisd: /etc/init.d/amavis: line 31: /bin/chown: cannot execute binary file
s1:~# /etc/init.d/amavis start
Starting amavisd: /etc/init.d/amavis: line 31: /bin/chown: cannot execute binary file
s1:~# uname -a
-bash: /bin/uname: cannot execute binary file

Ist ein 64er Debian System (Sarge) Hab schon Google bemüht, aber
keine relevanten Aussagen gefunden. Kann jemand helfen? Danke.

[Roger Wilco]

Das System kennt das Binärformat nicht. Was sagt denn z. B. `file /bin/chown` oder `/bin/uname`?
Entweder die Dateien sind kaputt oder im Kernel ist keine ELF-Unterstützung mehr vorhanden.

[adjustman]

Das System kennt das Binärformat nicht. Was sagt denn z. B. `file /bin/chown` oder `/bin/uname`?

Code: Select all

/bin/chown: ELF 64-bit LSB executable, AMD x86-64, version 1 (SYSV), corrupted program header size, corrupted section header size

Entweder die Dateien sind kaputt oder im Kernel ist keine ELF-Unterstützung mehr vorhanden.

und das passiert einfach so? Und der Kernel lief bis heute, dann nicht mehr?

[Roger Wilco]

und das passiert einfach so?

"Einfach so" passiert sehr wenig. In diesem Fall kann das verschiedene Ursachen haben. Von Bug im Dateisystemtreiber über fehlgeschlagenes Update bis zu ungebetene Gäste, die einfach Mist gebaut haben. Sicher kann das im Zweifel nur der Verursacher sagen.

Eine Überprüfung des Systems ist auf jeden Fall anzuraten (etwa die MD5 Summen der Dateien testen).

[adjustman]

"Einfach so" passiert sehr wenig.

das meinte ich ja. ;)

Eine Überprüfung des Systems ist auf jeden Fall anzuraten (etwa die MD5 Summen der Dateien testen).

Code: Select all

s1:~# md5sum /bin/ls
3a071fcd66f73b8a57ec748918b16f57  /bin/ls

Und was sagt mir das nun?

[Roger Wilco]

Und was sagt mir das nun?

Gar nichts...

Aber es gibt sicherlich sogar unter Debian die Möglichkeit, die MD5 Summen der Dateien mit denen in den DEB-Paketen zu vergleichen.

[adjustman]

Aber es gibt sicherlich sogar unter Debian die Möglichkeit, die MD5 Summen der Dateien mit denen in den DEB-Paketen zu vergleichen.

sicher. Bloss wie das geht? Und woher die *.deb zum Vergleich nehmen?

[antondollmaier]

rootkit-Hunter hilft sicher ...

[adjustman]

rootkit-Hunter hilft sicher ...

nee, kann nicht ausgeführt werden. Siehe oben (cannot execute binary file).

Hab jetzt in den Rescue Modus gewechselt (1&1 Server).
Dann habe ich festgestellt, dass ein Rootkit und eine SSH Backdoor
installiert wurden. Ausserdem alle Binaries ausgetauscht, die Aufschluss
auf die Aktion geben könnten. Und natürlich Logfiles manipuliert.

Insofern ist der Thread erledigt. Danke.