Удаление ботнета Linux

695
0fnt

Я боюсь, что я нахожусь под захватом ботнета Linux.

sudo netstat -antpv со всеми закрытыми браузерами, кроме других результатов, возвращает это:

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name tcp 0 0 192.168.0.100:48090 216.58.197.67:443 TIME_WAIT -  tcp 0 0 192.168.0.100:49130 216.58.197.68:443 TIME_WAIT -  tcp 0 0 192.168.0.100:47830 74.125.200.190:443 TIME_WAIT -  tcp 0 0 192.168.0.100:33494 216.58.197.81:443 TIME_WAIT -  tcp 0 0 192.168.0.100:42121 216.58.220.42:443 TIME_WAIT -  tcp 0 0 192.168.0.100:33497 216.58.197.81:443 TIME_WAIT -  tcp 0 0 192.168.0.100:40590 198.41.215.68:443 TIME_WAIT -  

Эти IP-адреса постоянно меняются. Эти адреса принадлежат

http://104.244.43.39.ipaddress.com (твиттер)

http://54.192.159.56.ipaddress.com (облачный фронт / амазонка

http://216.58.197.67.ipaddress.com (Google) (То же самое для остальных ips в этой серии)

http://74.125.200.190.ipaddress.com (Google)

http://198.41.215.68.ipaddress.com (cloudflare)

Итак, вот мои вопросы:

1) Я правильно читаю? Предполагая, что так-

2) Как определить процессы, которые делают это

3) Как мне защитить себя. Есть ли хорошие антивирусные решения Linux?

4) Что происходит? Я могу понять спам в твиттере, но как насчет Google? Они нажимают на ссылки Google для SEO?

5) Как мне избавиться от них быстро?

0

1 ответ на вопрос

3
Hennes

1) Я правильно читаю?

Все соединения, которые вы нам показываете, уже закрыты.

Если вы использовали веб-браузер (и посетили веб-страницу со значком твиттера), то это выглядит вполне нормально.

Это не означает, что вы не могли быть заражены каким-либо образом, но TIME_WAIT - это состояние, когда у нас когда-то была ссылка, но она уже закрыта и находится в процессе очистки.

Закрытие TCP-соединения выглядит так (упрощенно):

Time_wait_closing_diagram

2) Как определить процессы, которые делают это

На данный момент эти процессы уже прошли. Попробуйте выполнить мониторинг, чтобы найти тот, который УСТАНОВЛЕН, а затем попытайтесь выяснить, какое приложение использует это соединение. У меня сложилось впечатление, что это будет ваш браузер.

3) Как мне защитить себя. Есть ли хорошие антивирусные решения Linux?

Стандартные решения: не запускать с правами root. При щелчке по элементам руководствуйтесь здравым смыслом, обновляйте ОС и приложения

Что происходит? Я могу понять спам в твиттере, но как насчет Google? Они нажимают на ссылки Google для SEO?

В Windows я заметил то же самое, когда Firefox добавлял предложения в мои поиски. Много активных ссылок на Google. Не только веб-страница. И если я захожу на веб-страницу со ссылкой на Facebook или Twitter, который также может открыть подключение к их сайту. (Даже если он невиновен, если он только загружает логотип Twitter с сайта твиттеров).

Что касается облачных вычислений: это сеть доставки контента (CND). Почти все может вызвать их, в том числе Google и Twitter.

5) Как мне избавиться от них быстро?

Перезагружать.

Войдите (не графически) и проверьте, нет ли соединений.
Затем запустите графическое окружение (и, возможно, автозапуск приложений). Проверьте еще раз. Запустите ваши любимые программы, один за другим. Проверяйте снова после каждого ...

Я обычно очень осторожен, чтобы не использовать root. Все, что вы говорите, имеет смысл, большое спасибо. Когда я работаю не как GUI, у меня их нет. Я сомневаюсь, что получу лучший ответ, но я подожду, прежде чем выбрать этот ответ. 0fnt 8 лет назад 0
Так и должно быть. Принятие быстро не лучше. Hennes 8 лет назад 0

Похожие вопросы