Processos estranhos e consumo de cpu derrubando link

[Rafael]

Bom dia

Estou com o Segundo endian apresentando o mesmo problema ele apresenta alguns processos muito estranhos e começam a derrubar o link pois deixam o servidor com quase 100% de processamento, a versao que eu utilizo é a 2.5.2 porem não é o primeiro caso, no primeiro eu refiz o servidor inteiro e foi estabilizado.

Segue o TOP do servidor.
top – 09:44:42 up 40 min, 2 users, load average: 2.37, 2.27, 2.07
Tasks: 172 total, 1 running, 171 sleeping, 0 stopped, 0 zombie
Cpu(s): 34.5%us, 58.2%sy, 0.0%ni, 0.0%id, 0.0%wa, 1.6%hi, 5.7%si, 0.0%st
Mem: 3106072k total, 801020k used, 2305052k free, 42208k buffers
Swap: 524280k total, 0k used, 524280k free, 246320k cached

PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
15415 root 20 0 42844 1440 212 S 85.6 0.0 4:57.09 ahbdcinvuk
6792 root 20 0 148m 135m 1176 S 7.0 4.5 4:44.30 snort
4817 root 20 0 147m 25m 3408 S 3.5 0.8 2:09.13 emi
4994 ntop 20 0 141m 49m 2120 S 2.2 1.6 1:29.50 ntop
10352 root 20 0 2092 1048 764 R 1.3 0.0 0:17.51 top
2340 root 20 0 50704 11m 1380 S 0.3 0.4 0:14.82 jobsengine
2677 root 20 0 2960 1356 524 S 0.3 0.0 0:06.85 syslog-ng
11612 nobody 20 0 5912 2336 1416 S 0.3 0.1 0:01.02 httpd
1 root 20 0 1476 512 444 S 0.0 0.0 0:02.34 init
2 root 20 0 0 0 0 S 0.0 0.0 0:00.00 kthreadd
3 root RT 0 0 0 0 S 0.0 0.0 0:00.00 migration/0
4 root 20 0 0 0 0 S 0.0 0.0 0:00.04 ksoftirqd/0
5 root 20 0 0 0 0 S 0.0 0.0 0:00.07 events/0
6 root 20 0 0 0 0 S 0.0 0.0 0:00.06 khelper
11 root 20 0 0 0 0 S 0.0 0.0 0:00.00 async/mgr
127 root 20 0 0 0 0 S 0.0 0.0 0:00.00 sync_supers
129 root 20 0 0 0 0 S 0.0 0.0 0:00.00 bdi-default

[Eduardo Silva]

Suspeito que alguém ou algum bot obteve sucesso entrando no seu endian.
Sugiro que tire essa máquina de produção o mais rápido possível. O ideal seria substituir ela por outra e investigar melhor como aconteceu.

Provavelmente seu endian está secretamente minerando bitcoin ou realizando alguma atividade maliciosa 😛

Dicas (para uma máquina nova):
– Não exponha nenhum serviço do endian para a internet, principalmente a web interface e o SSH. Use SEMPRE vpn para acessar o seu endian remotamente. O openvpn deve ser o único serviço do endian exposto para internet e somente se ele for usado.
– SSH senhas fracas ou previsíveis são sinônimo de problema garantido. Existem milhares de computadores infectados na internet procurando ssh com senhas fracas.
– Não use senha para acesso ssh. Desative completamente esta opção e use apenas chave para autenticação.

[]’s

[Autor]

Posts