ssh-Verbindungen über perl ?

[nicbert666]

Hallo,

ich habe folgendes Problem. In letzter Zeit ist mein vserver beim Mail-Versand extrem langsam geworden.

Debian etch mit Plesk 9.2.3


Ein lsof -i gibt mir folgende komische Verbindungen:

perl      10102     www-data    3u  IPv4 1421743195       TCP meinvserver.de:47038->luna.mindvox.org:8443 (SYN_SENT)
perl      10130     www-data    3u  IPv4 1422080589       TCP meinvserver.de:47070->luna.mindvox.org:8443 (SYN_SENT)
perl      10146     www-data    3u  IPv4 1422256571       TCP meinvserver.de:47091->luna.mindvox.org:8443 (SYN_SENT)
perl      10155     www-data    3u  IPv4 1422347096       TCP meinvserver.de:47099->luna.mindvox.org:8443 (SYN_SENT)
perl      10165     www-data    3u  IPv4 1422405888       TCP meinvserver.de:47106->luna.mindvox.org:8443 (SYN_SENT)

ein lsof -p 10102 gibt mir folgendes aus:

perl    10102 www-data  cwd    DIR      0,183    4096   99949602 /
perl    10102 www-data  rtd    DIR      0,183    4096   99949602 /
perl    10102 www-data  txt    REG      0,183 1254244  100565182 /usr/bin/perl
perl    10102 www-data  mem    REG      0,183   19816  121243121 /usr/lib/perl/5.10.0/auto/Socket/Socket.so
perl    10102 www-data  mem    REG      0,183   38296  221085746 /lib/libcrypt-2.7.so
perl    10102 www-data  mem    REG      0,183 1294572  221085957 /lib/libc-2.7.so
perl    10102 www-data  mem    REG      0,183  112012  221085966 /lib/libpthread-2.7.so
perl    10102 www-data  mem    REG      0,183  149328  221085804 /lib/libm-2.7.so
perl    10102 www-data  mem    REG      0,183    9680  221085959 /lib/libdl-2.7.so
perl    10102 www-data  mem    REG      0,183   16548  121243126 /usr/lib/perl/5.10.0/auto/IO/IO.so
perl    10102 www-data  mem    REG      0,183  113248  221085956 /lib/ld-2.7.so
perl    10102 www-data    0r   CHR        1,3           99949698 /dev/null
perl    10102 www-data    1w  FIFO        0,6          946348430 pipe
perl    10102 www-data    2w   REG      0,183   45516  202178600 /var/log/apache2/error.log
perl    10102 www-data    3u  IPv4 1421743195                TCP meinvserver:47038->luna.mindvox.org:8443 (SYN_SENT)
perl    10102 www-data   44r  FIFO        0,6         4230336349 pipe
perl    10102 www-data   45w  FIFO        0,6         4230336349 pipe
perl    10102 www-data   46r  FIFO        0,6         4230336350 pipe
perl    10102 www-data   47w  FIFO        0,6         4230336350 pipe

Kann mir da jemand weiterhelfen ?

Vielen Dank im Voraus.

 

[trik]

Das wird zwar nicht groß zur Lösung beitragen, aber Debian Etch wird nicht mehr unterstützt und sollte nicht mehr verwendet werden.
Was hälst du von einem Update auf eine aktuelle Version?

 

[.A.]

Ein lsof -i gibt mir folgende komische Verbindungen

Welches Programm lässt Du auf die nich vorhandene Domain luna.mindvox.org verbinden?

 

[nicbert666]

Welches Programm lässt Du auf die nich vorhandene Domain luna.mindvox.org verbinden?

Eigentlich garkeins. Es häufen sich dann nur sshd Prozesse an, die vom User www-data ausgeführt werden.

 

[Joe User]

Dein System wurde auf Grund fehlender Administration gehackt und wird nun für Angriffe auf andere Systeme genutzt.
Du begehst mit dem System also gerade Straftaten.

Nutzdaten sichern sofern sie überhaupt noch vertrauenswürdig sind und das System umgehend vom Netz nehmen. Dann einen Admin anstellen und ihm die künftige Administration des Systems überlassen.



/me geht Popcorn holen...

 

[virtual2]

Sehr nice, Kiste abschalten und in das Rescue System deines Anbieters booten, dann Nutzdaten sichern und mit clamav und co prüfen.

/me geht Kuchen holen.

 

[schnoog]

Wenn nicht manuell Hand angelegt wurde (zum fixen), dann war es für den Hacker wenigstens nicht zu schwer die Kiste zu übernehmen...
In 9.2.3 sind ja einige Lücken, die schon weit über ein Jahr bekannt sind.
Z.B.: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-1823
oder http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-1557