r00t_System command not found

[marmor]

Hallo!

Ich glaube unser Webserver wurde erfolgreich das Ziel eines fremden Angriffes.

Egal ob wir httpd ssl oder die Datenbank (neu) starten wollen, immer wieder werde ich höflich darauf hingewiesen: r00t_System command not found

Nach mehrstündiger genauer überprüfung:
r00t_System ownz you by Spofs #RSY r00t_System@hacker.am Meu brothers do grupo: AFR0M4N - AMARELO - bebad


Das steht auf jeder adabas, httpd Datei oben. Andere habe ich mir noch nicht angeschaut.

Auf dem Server ist ein Debian System oben, kann man irgendwo einen Log sehen, wo eine IP oben steht oder auch sehen wie die von dort gekommen sind?

Schaden dürfte nicht sehr groß sein, mit Ausnahme von mehreren Stunden arbeit welche auf uns zukommen. Denn so wie es jetzt aussieht, dürften sie die Sicherungen nicht neu geschrieben haben. (dafür über 2000 andere httpd, adabas und sonstige Programm Dateien)

Kann mir wer sagen ob es irgend wo sichtbar sein sollte, wie die Hacker reingekommen sind?

Danke!

Martin

[msi]

Original geschrieben von marmor
Hallo!

Ich glaube unser Webserver wurde erfolgreich das Ziel eines fremden Angriffes.

Egal ob wir httpd ssl oder die Datenbank (neu) starten wollen, immer wieder werde ich höflich darauf hingewiesen: r00t_System command not found

Nach mehrstündiger genauer überprüfung:
r00t_System ownz you by Spofs #RSY r00t_System@hacker.am Meu brothers do grupo: AFR0M4N - AMARELO - bebad


Das steht auf jeder adabas, httpd Datei oben. Andere habe ich mir noch nicht angeschaut.

Auf dem Server ist ein Debian System oben, kann man irgendwo einen Log sehen, wo eine IP oben steht oder auch sehen wie die von dort gekommen sind?

Schaden dürfte nicht sehr groß sein, mit Ausnahme von mehreren Stunden arbeit welche auf uns zukommen. Denn so wie es jetzt aussieht, dürften sie die Sicherungen nicht neu geschrieben haben. (dafür über 2000 andere httpd, adabas und sonstige Programm Dateien)

Kann mir wer sagen ob es irgend wo sichtbar sein sollte, wie die Hacker reingekommen sind?

Danke!

Martin

schau halt deine log dateien in /var/log an. firewall logs hast du als zuverlässiger und guter admin doch sicher auch eingestellt.
war das system immer aktuell, also immer die aktuellen sicherheitspatches eingespielt? kernel >2.4.22 (do_brk und ptrace exploit)?
ansonten bleibt mir nur eins zu sagen: viel spaß beim neuaufsetzen!

[psy]

hmm :rolleyes:

http://www.r00tgroup.hpg.ig.com.br/

[sysdef.]

kann jedem passieren ...

sogar auch buchverlägen (http://www.obv.com/).

die gruppe ist ja immer noch heftig am wüten ... googelt mal nach den defaceings :-O

:eek:

cu