해킹당했어요ㅜㅜ

안녕하십니까? 홍석범입니다.

일단 mini라는 계정이 쉬운 암호를 사용하여 ssh를 통해 로그인후 백도어 프로그램 다운로드 및 실행한 것으로 보입니다. 일단 mini 계정의 암호를 변경하시기 바라며 ~mini/.bash_history를 확인하여 어떤 백도어를 설치하였는지 확인해 보시기 바랍니다.

그리고,

skill -KILL mini 를 실행하시면 mini 권한으로 실행되고 있는 모든 프로세스를 죽이게 됩니다.

감사합니다.

박준용 님의 글

Tasks: 252 total,   1 running, 251 sleeping,   0 stopped,   0 zombie
Cpu(s):  1.0% us,  0.2% sy,  0.0% ni, 98.3% id,  0.3% wa,  0.0% hi,  0.2% si
Mem:   1034436k total,   995688k used,    38748k free,   174716k buffers
Swap:  1028120k total,      848k used,  1027272k free,   606584k cached
 
 
 7570 webserv   15   0  9380 3648 2436 S  0.3  0.4  17:48.04 httpd                                                                
 7571 webserv   16   0  9504 3696 2436 S  0.3  0.4  17:38.83 httpd                                                                
 6756 mini      15   0   964  568  480 S  0.3  0.1   0:05.26 ssh-scan                                                             
 6757 mini      15   0   964  568  480 S  0.3  0.1   0:05.32 ssh-scan                                                             
 6763 mini      15   0   964  568  480 S  0.3  0.1   0:03.33 ssh-scan                                                             
 6771 mini      15   0   964  568  480 S  0.3  0.1   0:03.35 ssh-scan                                                             
 6773 mini      15   0   964  568  480 S  0.3  0.1   0:03.87 ssh-scan                                                             
 6780 mini      15   0   964  568  480 S  0.3  0.1   0:03.89 ssh-scan                                                             
 6781 mini      15   0   964  568  480 S  0.3  0.1   0:05.51 ssh-scan                                                             
 6790 mini      15   0   964  568  480 S  0.3  0.1   0:06.08 ssh-scan                                                             
 6791 mini      15   0   964  568  480 S  0.3  0.1   0:03.83 ssh-scan                                                             
 6796 mini      15   0   972  532  436 S  0.3  0.1   0:18.83 ssh-scan                                                             
 6797 mini      15   0   964  568  480 S  0.3  0.1   0:03.53 ssh-scan                                                             
 6799 mini      15   0   964  568  480 S  0.3  0.1   0:03.88 ssh-scan                                                             
 6800 mini      15   0   964  568  480 S  0.3  0.1   0:06.57 ssh-scan                                                             
 6801 mini      15   0   964  568  480 S  0.3  0.1   0:03.98 ssh-scan                                                             
 7974 webserv   15   0 10104 3396 2496 S  0.3  0.3   0:00.02 httpd

여기에 파일이 있길래 지웠는데...    

[root@localhost log]# find / -name ssh-scan
/home/negomall.com/mini/ /.s/ssh-scan

[root@localhost negomall.com]# rm -rf mini

변화가 없어요 도와주세요 ㅜㅜ

tmp 밑에 이상한 파일이 있길래 그것도 지웠는데 도무지 멈추질 않아요

[root@localhost tmp]# ls -al
합계 40
drwxrwxrwt   5 root     root      4096 11월 12 20:09 .
drwxr-xr-x  23 root     root      4096  2월  7  2006 ..
drwxrwxrwt   2 root     root      4096  2월  7  2006 .ICE-unix
drwx------   2 root     root     16384  2월  6  2006 lost+found
srwxrwxrwx   1 mysql    mysql        0 11월 12 17:42 mysql.sock
drwx------   2 whostyle whostyle  4096 11월 12 20:09 ssh-WMHTzJ6943