heleboel eth0:x interfaces erbij gekregen

[gjs]

Ik heb een linux-doos die routertje speelt. Er zitten 2 ethernet kaarten in.

a.b.c.254 /24
d.c.e.1 /24

a.b.c.254 hangt aan internet. verkeer voor d.c.e.0 wordt via a.b.c.254 gerouteerd.
Dit werkt prima, met wat iptable rules erop.

Nu zit ik net te kijken met ifconfig en nu zie ik dit:

eth0 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.254 Bcast:a.b.c.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:836402 errors:0 dropped:0 overruns:0 frame:0
TX packets:4986781 errors:0 dropped:0 overruns:0 carrier:4
collisions:0 txqueuelen:100
RX bytes:302684665 (288.6 Mb) TX bytes:306799637 (292.5 Mb)
Interrupt:9 Base address:0xf880

eth0:2 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.2 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:2- Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:1.2.3.4 Bcast:1.255.255.255 Mask:255.0.0.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:10 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.10 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:11 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.11 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:12 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.12 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:13 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.13 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

eth0:14 Link encap:Ethernet HWaddr 00:11:22:33:44:55
inet addr:a.b.c.14 Bcast:1.2.3.4 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
Interrupt:9 Base address:0xf880

dit loopt door tot 253


Kortom voor alle niet gebruikte ip adressen heb ik een interface erbij gekregen.
Het is een RedHat 7.2 systeempje.
Hoe kan dit, hoe los ik het op ?
ps. ik heb wat lopen pielen met subnet pings (a.b.c.255)

[gjs]

hmmm ik vindt net shaftnode (ddos tool), lijkt me de oorzaak...

[jep]

anti ddos tool mag ik hopen?

[alt-92]

Op maandag 04 februari 2002 00:02 schreef jep het volgende:
anti ddos tool mag ik hopen?

Nope

"Shaft" belongs in the family of tools discussed earlier, such as
Trinoo, TFN, Stacheldraht, and TFN2K. Like in those tools, there are
handler (or master) and agent programs. The general concepts of these
tools can be found in a Distributed Intruder Tools Workshop Report held
in November 1999 at the Computer Emergency Response Team Coordination
Center (CERT/CC) in Pittsburgh, Pennsylvania:

http://www.cert.org/reports/dsit_workshop.pdf

In chronological order, there are Trinoo, TFN, Stacheldraht, Shaft, and
TFN2K. Trinoo, TFN, and Stacheldraht were analyzed in [5], [6], and [7]
respectively. TFN2K was recently analyzed in [1].

In the first two months of 2000, DDoS attacks against major Internet
sites (such as CNN, ZDNet, Amazon etc.) have brought these tools
further into the limelight.

[xychix]

conclusie. iemand kan op je systeem prutsen (of heb je dit zelf gedaan ??!!)

(gehacked ??)

[jep]

Als je gehacked bent heb je een probleem en waarschijnlijk meegeholpen aan DDoS attacks

Als je die DDoS attacks zelf uitvoert ben je een domme lul

[gjs]

Typisch voorbeeldje van gehacked
Als ik zelf ddos dingen zal uitvoeren dan denk ik dat ik dat niet hier zal posten
De hacker had ook voor zich zelf een account aangemaakt, en ~ftp vond ik dus de file shaftnode.
Verder kan ik weinig rare dingen vinden. Ik hou het ff goed in de gaten. De IP-tables rulez zijn wat aangescherpt.

[blaataaps]

* blaataaps stelt voor dat je reinstalled.
Je weet namelijk niet of er binaries corrupted zijn, bijvoorbeeld netstat die connecties weglaat, of ls die files niet weergeeft.

[jep]

Scheelt weer een paar bytes bij DDoS attacks

[Verwijderd]

Op maandag 04 februari 2002 18:14 schreef gjs het volgende:
Typisch voorbeeldje van gehacked
Als ik zelf ddos dingen zal uitvoeren dan denk ik dat ik dat niet hier zal posten

Nee, lijkt me niet zo verstandig nee

/me heeft naast spam een andere enorme hekel aan bepaalde zaken op inet

Zoals gezegd is zou ik maar een reinstall doen, tenzij je heel goed weet waar je mee bezig bent. Misschien niet verkeerd om een rootkit check programma erop los te laten