Linux virus? of hacker op mijn pc?

[Carnifex]

Hey tweakers,

ik wil nogmaals eens beroep doen op de enorme hoeveelheid kennis die zich hier bevindt. ik heb namelijk een probleempje: volgens mij zit die worm of een hacker op mijn linux server .
er staat als ik inlog als root: 'you have new mail'. (echter nooit mailverzonden met root). In die mail staat dat het adres [e-mail] niet bestaat en ik de mail dus terugkrijg. subject = mijn IP (!!!)
body = 'Eat Your Ramen'

Er is ook een mailtje van cron gekomen (cron.daily). daarin staat dat er fouten zijn opgetreden bij het aanroepen van
'/etc/cron.daily/makewhatis.cron'
(dit lijkt mij geen orgineel commando)

-verder merk ik eigenlijk niet zoveel aan mijn systeem(alleen had ik net wel problemen met inloggen (vroeg niet meer om password bij login). tijdens reboot zag ik nog net een paar foutmeldingen daarvan.

kan iemand mij vertellen wat dit allemaal inhoud?

thanxz,

Carnifex

[Verwijderd]

Redhat 6.2 of 7 Zeker ?

[Verwijderd]

http://tweakers.net/nieuws.dsp?ID=15345

Komt dat je niet bekend voor?

[Greyfox]

http://tweakers.net/nieuws.dsp?ID=15345

[Greyfox]

sjips, die was me voor.

[Verwijderd]

greyfox even wakker blijven graag :-)

[The Source]

Waarschijnlijk de nu wel bekende worm, tenminste alles wijst erop.

Hoe je een Redhat systeem veilig kunt configgen staat in: http://www.linuxdoc.org/LDP/gawlso/Securing-Optimizing-Linux-RH-Edition-1_3.pdf (thanx go to HappyWannabe)

zie ook het draadje http://gathering.tweakers.net/forum/list_messages/108152

[Verwijderd]

die Ramen worm is erg lekker op snelheid nu geloof ik, kom steeds meer geinfecteerde systemen tegen...ben bang dat die jongens toch erg snel gepakt gaan worden als de FBI de logfiles van hotmail gaat opvragen..was niet erg slim van ze op alle gehackte ip-adressen naar een emailadres([e-mail] of "[e-mail]") te sturen, hadden ze beter naar een webpagina kunnen doen die ze dan anoniem konden bekijken.

[Carnifex]

thanxz voor de info, vooral die url om hem weg te halen ;-). Ik wilde alleen even zeker weten of dit een hack was door iemand of die worm

thanxz

[Carnifex]

iets te vroeg gepost over die oplossing voor het probleem. IPtraf geeft aan dat er nogal enorm veel traffic is in pieken tot 160 kb/s.(Worm is aan het port-scannen?). verder zegt ie dat er veel ARP-requests zijn.
Ik heb de 3 files weggehaald die het scriptje 'chopstix.pl' aangeeft. Dit scriptje vertelt mij ook dat er geen ramen signs found zijn...
WTF zijn die ARP requests ?

-=help needed=-

Carnifex

[Metzie]

ARP = Adres Resolution Protocol
Dat is een programmatje dat Ip adressen omzet in MAC adressen en omgekeerd. Het werkt onderin het TCP/IP protocol (OSI layer 6&7), het zorgt voor de daadwerkelijke transmissie over het netwerk (dus van NIC naar NIC communicatie)

[Carnifex]

maar als er dan 10 requests per sec. zijn, dat kan toch nooit goed zijn?
Ik wil van die worm af, of moet ik dan RedHat opnieuw erop zetten?!?
heb er nu genoeg van

[mavink]

Ik zou je hele harddisk even formatteren; dat is de enige manier waarop je zeker weet dat er geen sporen van de hacker meer zijn.

[Verwijderd]

Het lijkt mij niet dat de FBI echt veel heeft aan de logfiles van Hotmail... Ze zijn heus niet met hun eigen IP die mailbox gaan checken!

[franklin]

moet je ff hier http://www.security.nl/content.php3?page=reactie&id=1753&979829582 kijken!

partick oonk van pine heeft een scriptje geschreven wat je van die worm af kan helpen!

[Pierik]

Kun je ook last van die worms hebben als je Slackware volledig hebt geinstalleerd maar wel ProFTPD gebruik. Ik heb hier verder ook alle services in de inetd.conf uitgezet. ProFTPD draait Standalone evenals Apache.

[mavink]

Niet van deze worm misschien, maar als er iemand een bug in proftpd ontdekt ben je alsnog behoorlijk zuur. Het belangrijkste is dat je alle updates een beetje in de gaten houdt, en er is vast wel een security-mailinglist voor slackware. Als je je echt zorgen maakt moet je je ook even aanmelden bij Bugtraq dan krijg je de leukste bugs/DoS tools/virussen etc in je mailbox.