저희 사이트가 갑자기 느려져서
백도어를 찾아보니
# find /dev -type f -exec ls -l {} ;
-rwxr-xr-x 1 root root 16600 Aug 31 2001 /dev/MAKEDEV
별이상이 없고해서
# top
하니까
Uhell 이라는넘이 CPU를 66% 가량 차지하며 3개나 떠 있더군요.
해서
# killall Uhell
로 죽였습니다.
조금후에
IDC 에서 전화가와서는 저희서버에서
엄청난 트랙픽을 쏘아내고 있다면서
서버를 죽여야 겠다고 하더군요
서버가 죽으면 나도 죽는다고 절대 안된다고 했죠
그리고 살펴보니
또 Uhell 이 떠있더군요
죽이면 트랙픽이 안일어 난다고 하는걸 보면
Uhell <== 이넘이 범인은 분명한데
30분 또는 1,2시간에 한번씨
Uhell 이넘이 올라옵니다.
kldp 와 적수네 등 제가 알만한 리눅스 관련
사이트는 다찾아봐도
Uhell 에 대해서는 전혀 없군요...
해킹인가요???
아시는 분 좀 도와주시면
한 생명을 살리는 겁니다....
도와주십시오.....
Uhell 은 알려진 백도어와 트로이 목마 이름이라 서버가 침해된 것으로 보는 것이 맞습니다. killall 로 죽여도 다시 올라온다면 다른 경로로 재감염되고 있다는 뜻이니, 우선 외부 연결을 끊고 증거를 보존하세요.
다른 서버에 피해를 주고 있다면 IDC 와 상의해 격리하고, 재설치와 모든 암호 변경을 권장합니다. 원인 분석은 로그와 cron, 실행 파일 목록을 기준으로 하세요.