Debian определить генератора процессов?

Question

[Nahs]

Добрый день!

Столкнулся с проблемой.
На сервере под Дебиан развернут апач все, что с ним связано.
По причине ли моей криворукости или удачной атаки (неделю назад нас жестко ддосили)
на нем появился кто-то, кто генерит процессы, которые долбятся на различные айпи с портом 7000, чем сильно огорчает нашу циску и она ложится спать. Сейчас сервер изолирован от внешнего мира.
Подскажите, пожалуйста, каким образом выявить и уничтожить эту заразу?
вывод ps -ela

1 S     0 11387     1 38  80   0 -  6745 -      ?        09:02:41 ewujhlglga
1 S  1000 11488     1  7  80   0 -  6661 -      ?        01:51:52 bfugpgmbtp
1 S  1000 11497     1  7  80   0 -  6659 -      ?        01:51:55 xdxbatlcft
1 S  1000 11677     1  0  80   0 -   364 -      ?        00:00:00 jqalrsffsj
1 S  1000 11679     1  0  80   0 -   364 -      ?        00:00:00 jqalrsffsj
1 S  1000 11682     1  0  80   0 -   364 -      ?        00:00:00 jqalrsffsj
1 S  1000 11683     1  0  80   0 -   364 -      ?        00:00:00 jqalrsffsj
1 S  1000 11685     1  0  80   0 -   364 -      ?        00:00:00 jqalrsffsj
1 S     0 11713     1  0  80   0 -   364 -      ?        00:00:00 epkghlkqlt
1 S     0 11718     1  0  80   0 -   364 -      ?        00:00:00 epkghlkqlt
1 S     0 11721     1  0  80   0 -   364 -      ?        00:00:00 epkghlkqlt
1 S     0 11723     1  0  80   0 -   364 -      ?        00:00:00 epkghlkqlt
1 S     0 11724     1  0  80   0 -   364 -      ?        00:00:00 epkghlkqlt
1 S  1000 11733     1  0  80   0 -   364 -      ?        00:00:00 aexrgivbcw
1 S  1000 11735     1  0  80   0 -   364 -      ?        00:00:00 aexrgivbcw
1 S  1000 11738     1  0  80   0 -   364 -      ?        00:00:00 aexrgivbcw
1 S  1000 11740     1  0  80   0 -   364 -      ?        00:00:00 aexrgivbcw
1 S  1000 11741     1  0  80   0 -   364 -      ?        00:00:00 aexrgivbcw

Answer 1

[Дмитрий]

Подскажите, пожалуйста, каким образом выявить и уничтожить эту заразу?

Полной переустановкой сервера.

Comments

[Nahs]

Логично. А без этого никак?

[ТыжСисАдмин]

Nahs: никак, если сервер скомпромитирован то единственным верным решением будет переустановка системы с нуля.
Вычистить вы можете но вычистите вы результаты взлома но останется бэкдор и собственно сама дыра через которую ломанули (а вот вопрос дыры всёравно останется открытым).

[Nahs]

Понял. Значит так и поступлю. Спасибо.