Hilfe mein Server ist ein Zombie

[magic_ma]

Hi Leuts,

hab ein Problem. Mein Server wurde gehackt. Jedesmal wenn ich den qmail starte sendet das Programm automatisch fishing-mails.
Wie kann ich es unterbinden?

Muss noch dazu sagen dass ein ziemliche Rookie in solche Sachen bin :oops:

Irgendwelche Ideen?

[Roger Wilco]

1. MTA abschalten.
2. Mailqueue löschen.
3. Nutzdaten und Logdateien sichern.
3a. Einbruch analysieren
4. System neu installieren.

http://www.rootforum.org/faq/14_104_de.html
http://www.rootforum.org/faq/14_183_de.html

[magic_ma]

das ging ja fix.

ich meld mich wenn ich das alles gemacht habe.

thx

[magic_ma]

klingt dumm aber wie lösche ich die Mailqueue?

[Roger Wilco]

Code: Select all

# Verzeichnis anpassen!
cd /var/qmail/queue/
/usr/bin/find intd todo local remote mess info bounce -type f -print |xargs rm

[magic_ma]

thx. habs gemacht und den server neu gestartet.

jetzt bekomme ich wenn ich die dienste anschaue habe ich haufen "[qmail-send <defunct>]".

hab auch schon hier in forum was gefunden http://www.rootforum.org/forum/viewtopic.php?t=12957

meine frage: heisst das jetzt dass der server weiterhin fishing-mails sendet oder heisst es dass der dienst seine eltern nicht findet?

[magic_ma]

hab alle "[qmail-send <defunct>]" dienste gekillt.

jetzt kommt auch nichts neues, also scheint geklappt zu haben. naja weiterhin beobachten.

ach übrigens das sicherheitsleck wurde auch gefunden und beseitigt.

auf jeden fall vielen vielen dank Roger. hast mir echt geholfen.

[adjustman]

das sicherheitsleck wurde auch gefunden und beseitigt.

das da war?

[zg0re]

Und was ist, wenn der Angreifer noch ne Hintertür eingebaut hat z.B.? Das einzig richtige ist, den Server neu aufzusetzen, sonst kommst du schnell in Teufels Küche.

[timeless2]

Und was ist, wenn der Angreifer noch ne Hintertür eingebaut hat z.B.? Das einzig richtige ist, den Server neu aufzusetzen, sonst kommst du schnell in Teufels Küche.

Wenn es ein Kontaktformular war, bei dem die Übergabevariablen nur unzureichend geprüft wurden, hatte der Angreifer ja nicht direkt Zugriff.