혹시... 186.2.171.38:2070에대한 정체를 아시는분계실까요.

짱짱맨   
   조회 322   추천 0    

쪽팔리면 질문하지 맙시다. 소중한 답변 댓글을 삭제하는건 부끄러운 일 입니다 


안녕하세요 젠서버에 가상머신 20개를 올려두고 아무것도 하지 않은 시스템이 있습니다

그런데 어느날부터 갑자기 내부 네트워크가 불안정하더라구요

참고로 아이피타임 공유기 아래에 있는 시스템입니다.

가상화 피지컬 서버를 종료 시키니 문제해결<내꺼 가상화쪽에 문제가있을거같았음>

가상vm 개별적으로 보니 특정vm이 켜있으면 네트워크 불안정 확인, 해당 vm 네트워크 셧다운하면 네트워크는 정상화.

문제가 의심되는 VM에서 netstat -tunp 했더니 다음과같은결과가 나왔습니다.


참고로 해당서버 ip는 192.168.0.52입니다.

그리고 외부에서 내부로 드어올수없습니다 포트포워딩같은건 하지 않았어요... . 

제 생각에는 해당 vm에 악성코드가 설치된거같긴합니다. 186.2.171.38:2070으로 무었을 하는 하는 행위..

그런데 문제는 어떤 프로세서인지 ... 나오지 않습니다... 스샷 보시면... PID도없어요... 

그리고 VM만든지 일주일되었고 딱히 설치한 것도없습니다 ... 여기서도 이해간감....

결과적으로 리눅스에 방화벽 활성화시키고 186.2.171.38 의 네트워크 통신을 완전히 차단시키고 정상화되었습니다.


왜 그런걸가요 이해가안갑니다....


짧은글 일수록 신중하게.
술이 03-25
러시아발 해킹봇입니다.
그리고 netstat 만으로는 모르죠. 어느 프로세스가 저짝이랑 연결시켰는지 그걸 찾아야 하는데 막았다고 해결된게 아닙니다.
     
짱짱맨 03-25
어떤 프로세서 사용중인지 아무리 찍어도 나오지가 않아요ㆍㆍ
서버세팅이 잘못된거아닐가요?
34.198.은
Amazon Technologies Inc.
Datacenter
다음아이피는
IQWeb FZ-LLC
Datacenter
라고합니다
2070포트는 xen center 와 server 관리용 통신포트라는데
외부에서 그냥 들어오지는 못하는게 정상이니

네트워크구성이 잘못되었거나(펌웨어에 구멍이 있거나)
Xen서버 이미지가 오염되었거나
한거같습니다
코티스 03-25
젠서버가 털린뒤에 내부 가상머신도 털린것 같네요.
짱짱맨 03-25
xcp-ng  8.2 를 사용하고 내부에서 쓰는거라 털릴게 있는지를 모르겠네요ㆍㆍ
     
코티스 03-25
요즘 악성 코드 설치형태의 해킹은 교묘하게 취약한 부분을 공격하여 인프라를 장악합니다.
외부 접속이 가능한 서비스가 있다면 해당 부분을 공격했고 공격에 성공했을 가능성이 높습니다.
dateno1 03-25
저것만으론 알 수 없어요

이미 뭔가 심겨서 리버스라도 열려있을 수 도 있습니다

거기다 위에 적힌대로 호스트라도 털린거면 1대만 문제가 아닐 수 도 있습니다
제온프로 03-25
inetnum:        186.2.171.0 - 186.2.171.255
netname:        IQWEB-LLC-NET
country:        BZ

address:        UNITED ARAB EMIRATES
address:        Dubai

===>>  해당 VM 폐기 하세요..
     
짱짱맨 03-25
당연히 폐기했쭁..... 근데 문제생기는 이유를 알아야하는데 찾을수가없어서 문제입니다..또생길거니가요 이증상이..
          
제온프로 03-25
아마도 채굴 또는 다른 곳을 해킹하기 위한 릴레이서버로 활용 ???


QnA
제목Page 4/5723
2014-05   5232048   정은준1
2015-12   1758755   백메가
03-30   245   Sakura24
2021-02   246   리눅스초보
03-28   247   정의석
03-29   247   S84j2h
03-27   250   착하게살자2
03-30   253   ddabonge
01-29   257   isilentwind
03-27   258   2CPU최주희
03-27   261   Sakura24
2020-11   262   원주멋진덩치
03-27   262  
2022-08   264   kyd2506
2018-08   267   SkySky
03-28   272   삼돌군
03-25   272   이창준
03-31   275   승리의샌디…
03-24   278   카뮬
03-26   280   화란
03-25   286   통신버필
03-30   287   토마손Value