Seltsamer Prozess auf Linux vServer mit fast 100% CPU

[efanucar]

Hallo zusammen,

habe gerade unseren Server gecheckt und einen Prozess gefunden, der seit einigen Stunden läuft und nahezu 100% CPU schluckt.
Hier die Ausgabe von "ps aux"

root      1100 99.6  0.0   1648   480 ?        R    11:32   5:12 ./s 61.19.218.55 53

Ich finde ein Skript mit dem Namen "s", im Ordner /var/books/.kde

find / -name "s"
/srv/www/vhosts/chroot/usr/share/terminfo/s
/var/books/.kde/s
/usr/share/terminfo/s

-rwxr-xr-x 1 psaftp psaftp   15078 Feb 20  2005 s

Über die IP gibt es auch nichts aussagekräftiges bei RIPE oder Google.
Habt Ihr sowas schon mal gehabt? Scheint irgendetwas mit Plesk zu tun zu haben?
Es handelt sich um einen vServer bei 1blu auf openSUSE 11.0 64 bit Basis.

Wäre für ein paar Hinweise dankbar!

Vielen Dank und Grüße!

 

[efanucar]

Oha, das sieht nicht gut aus:

/var/books/.kde # ./s

mihai@fucked.gov:

Vine noaptea ;)

Usage: Distroy <Criminalu> <Port>

 

[PapaBaer]

Das Script läuft mit Root-Rechten.

* Image machen
* Einbruch analysieren
* Server neu aufsetzen
* Lücke fixen

 

[efanucar]

Image vom kompletten Filesystem?

Wo fange ich an um den Einbruch zu analysieren?

Den letzten Teil kann ich mir zum Glück sparen, da der Server in paar Tagen sowieso geschlossen wird.

 

[schnoog]

Ich würd erstmal beim System ansetzten. Dafür gibt es seit 2010 keine Updates mehr.

 

[PapaBaer]

Image vom kompletten Filesystem?

Jep. Das Original-Image legst du dann unangetastet bei Seite, ziehst dir eine Kopie und analysierst daran den Einbruch. Den Server legst du so lange schlafen.

 

[vb-server]

DNS Attacke? Jedenfalls scheints was mit Port 53 zu tun haben. Würde das Binary mal mit strings bzw strace untersuchen Kannst du indem du htop öffnest, auf den Prozess gehst und "s" drückst.

 

[efanucar]

Der Angriff kam relativ sicher über eine Lücke in Plesk 9.5.2 (hier wurde tatsächlich nicht rechtzeitig ein Update durchgeführt) - vermutlich über FTP https://serversupportforum.de/threads/plesk-9-5-2-sowie-9-5-3-sicherheits-problem-ftp.40259/). Der Server ist stillgelegt und ein neuer mit aktuellem System wird aufgesetzt.
Danke für die Rückmeldungen!