[Ilugc] Regarding: Server Malicious hit issue

  • From: knura9@xxxxxxxxx (Arun Khan)
  • Date: Wed, 4 Nov 2015 22:45:52 +0530

On Wed, Nov 4, 2015 at 5:29 PM, Marikkannan Rajagopal
<mail2marikkannan at gmail.com> wrote:

Dear All.,

             I am facing the issue on live server and the live server is in
"CENTOS",some malicious hit is going out of my server through the port
number 53 and even though I ran too many too like rkhunter,etc. But I
didn't found the malicious file or output from my server itself.


rkhunter is not a sufficient  to check for compromises.  You should
have installed 'aide' as well.  'rpm --verify' will show compromised
files assuming your RPM db files are not compromised.

             And the host name is consider as malicious is "irc.nets.hk",and
it doesn't have any valid ipaddress.,and result of this my cloud provider
DNS blocked my server ip.


Prima facie, it appears your server is hacked with a bot that floods
DNS query requests i.e. DOS attack.


            Can I block the port number 53 in my server itself (both
outgoing/incoming ).,and I didn't use the port number 53 for my application.


Incoming yes, outgoing to dest port 53 will disable all DNS lookups on
your server.

            I can see the output only through "tcpdump on the specfic port
53"

              Results:

                    11:46:37.568099 IP 119.19.44.31.48427 >
119.19.60.62.53: 14465+ A? irc.nets.hk. (29)
11:46:40.707735 IP 119.19.44.31.58955 > 119.19.60.63.53: 1919+ A?
irc.nets.hk. (45)
11:46:45.712962 IP 119.19.44.31.57951 > 119.19.60.62.53: 1919+ A?
irc.nets.hk. (45)
11:46:48.718333 IP 119.19.44.1.39769 > 119.19.60.63.53: 15764+ A?
irc.nets.hk. (29)

            But I didn't get any results on my netstat and isof.,


These could have been compromised.   Install busybox and use it's
equivalent replacement for tools like netstat, ps, find etc. 'man
busybox' shows all the functionality it provides.

Your best bet would be take backups of your data and start with a
fresh install and apply all security patches to the latest before
throwing it open for business.

Best,
-- Arun Khan

Other related posts:

  1. Home
  2. ilugc
  3. Archive
  4. 11-2015