Как избавиться от вредоносного процесса на сервере centOS?

Question

[grkirill]

Взломали сервер через недавнюю уязвимость в redis (был открыт порт) и подсадили процесс (/bin/unama), который явно делает что-то плохое и жрет 80% CPU.

Порты закрыл, но процесс убить не получается. Делаю kill 9 с последующим удалением файла из /bin/, но через минуту процесс снова запускается. Не понимаю что его заставляет запускаться снова. У процесса PPID - 1.

Подскажите, как мне избавиться от этого добра?

Comments

[AlikDex]

можно поподробнее про уязвимость? что-то не смог нагуглить.

[Pavel]

от греха подальше переустановка

[Pavel]

AlikDex: www.bdu.fstec.ru/vul/2015-10357

[Ринат Бакиев]

grkirill как в итоге решили проблему? С утра получил уведомление об установке сервера, т.к. тоже взломали redis

Answer 1

[alexxandr]

Полная переустановка сервера - 100%

Answer 2

[Владимир Мартьянов]

А можете на VT залить файлик /bin/unama и ссылочку дать? Передам нашему спецу по линухам. Но вообще компрометация сервера должна заканчиваться его полной переустановкой.

Comments

[grkirill]

VT - это что? ;)

[Владимир Мартьянов]

Visrustotal.com

[Владимир Мартьянов]

Vetal4eg: Спасибо! Мы уже детектим, я смотрю :-)

Answer 3

[Руслан Федосеев]

проверяем крон, at, остальные процессы
Полная переустановка желательна, но в принципе вычистить можно.
rpm -Va
делали? если нет - сделайте. если есть модифицированные не конфиг файлы, а бинарники или библиотеки - yum reinstall пакета