URL: https://linuxfr.org/users/gazel/journaux/xpl-exploit-sous-linux-quelquun-conna%C3%AEt Title: XPL exploit sous linux, Quelqu'un connaît? Authors: Gazel Date: 2005年11月18日T09:24:06+01:00 Tags: Score: 0 Hier j'ai découvert sur un de mes serveur apache un processus appelé XPL (une bonne trentaine d'instances étaient démarrés) et la machine broutait comme une malade. Sans trop me soucier et presser de remettre le système en route, j'ai fait un "killall -s KILL xpl" et voila tout mes processus mort et la machine répond de nouveau. Je regarde un peu partout ou se trouve ce fameux processus xpl et je trouve dans /var/tmp/ une série de fichier dont un appelé "scanx.tar.gz" et deux répertoires appelles ".m" et ".de" et dans l'un des répertoire le fameux binaire "xpl". J'efface donc tous ça et j'attends. 5 minutes plus tard, même bordel, le processus xpl de nouveau en route et les même fichiers dans /var/tmp, je décide de prendre le problème a bras le corps et je supprime le compte utilisé pour créer ces fichiers, au passage le système m'indique que ce compte est "logged in" en ssh donc un petit kill sur le process et voila le compte disparu. Depuis plus rien... Quelqu'un connaît ce truc? Le seul truc que j'ai trouver sur Google c'est un lien vers une liste de virus mais pas d'explication sur la bête. J'aimerais savoir si mon infection est véritablement fini ou bien faut que je réinstalle tout...J'ai vérifié la plupart des binaires important et leurs checksums correspondent bien à ceux sur le CD. J'utilise la dernière mouture de OpenSSH et de Proftpd (seul port ouvert sur la machine) donc je sais pas trop comment ce truc est entrer.