Acho estranho heim todos os serviços estão sendo executados pelo usuário asterisk, parecem ser legitimo, mas é melhor não arriscar ...
O processo que roda na porta 729 é o rpc.statd com o PID 1819 O outro processo da porta 20005 é o dialerd PID 2325 Repara que tem conexão estabelecida da porta 20005! Se não usa estes serviços mate eles com kill -9 1819 e kill -9 2325 Sinceramente não acho que teve invasão por estas portas ... Os IPs que falou não estão fazendo nada de mais, só estão logados na porta 443! Elucide melhor como foi esta invasão ? Alguém fez chamadas pelo seu Asterisk ?? Em 11 de julho de 2013 12:42, Eduardo Pereira <edup...@gmail.com> escreveu: > O resultado: > > rpc.statd 1819 rpcuser 7u IPv4 5636 TCP *:netviewdm1 > (LISTEN) > > Estes ips 192.168.1.10 e 192.168.1.4, sao PAs logadas na interface elastix > callcenter com softfone 3cx. > COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME > dialerd 2320 asterisk 3u IPv4 17250 TCP > localhost:34127->localhost:5038 (ESTABLISHED) > dialerd 2321 asterisk 7u IPv4 17249 TCP > localhost:34126->localhost:5038( > ESTABLISHED) > > dialerd 2325 asterisk 9u IPv4 7123 TCP *:20005 > (LISTEN) > > dialerd 2325 asterisk 10u IPv4 17247 TCP > localhost:34125->localhost:5038 > (ESTABLISHED) > > dialerd 2325 asterisk 11u IPv4 585896 TCP > localhost:20005->localhost:34557 > (ESTABLISHED) > > dialerd 2325 asterisk 12u IPv4 585121 TCP > localhost:20005->localhost:41387 (ESTABLISHED) > httpd 27466 asterisk 14u IPv4 585108 TCP 192.168.1.253: > https->192.168.1.10:49180 (ESTABLISHED) > httpd 27466 asterisk 19u IPv4 585120 TCP > localhost:41387->localhost:20005 (ESTABLISHED) > httpd 27467 asterisk 3u IPv4 6802 TCP *:http (LISTEN) > httpd 27467 asterisk 4u IPv4 6808 TCP *:https (LISTEN) > httpd 27491 asterisk 3u IPv4 6802 TCP *:http (LISTEN) > httpd 27491 asterisk 4u IPv4 6808 TCP *:https (LISTEN) > httpd 28226 asterisk 3u IPv4 6802 TCP *:http (LISTEN) > httpd 28226 asterisk 4u IPv4 6808 TCP *:https (LISTEN) > httpd 28226 asterisk 14u IPv4 585883 TCP 192.168.1.253: > https->192.168.1.4:50737 (ESTABLISHED) > httpd 28226 asterisk 19u IPv4 585895 TCP > localhost:34557->localhost:20005 (ESTABLISHED) > > > Em 11-07-2013 12:29, Eng Eder de Souza escreveu: > > Em tempo tbm dá pra fazer assim : > > lsof -t -i:20005 > lsof -t -i:729 > > > Em 11 de julho de 2013 12:23, Eng Eder de Souza > <eder.so...@bsd.com.br>escreveu: > >> Claro que sim ! >> >> >> Em solo Linux como root execute: >> >> lsof -i >> >> Com isso você vai ter o nome da aplicação que está rodando, o PID e a >> porta por número ou nome do serviço! >> >> >> >> >> Em 11 de julho de 2013 12:06, Eduardo Pereira <edup...@gmail.com>escreveu: >> >> Eder, bom dia! >>> >>> não tenho serviços de vídeo... >>> tentai encontra os processos que estão abrindo estas portas porem não >>> encontrei nenhum serviço estranho. >>> Existe alguma forma de descobrir o processo especifico desta porta? >>> >>> >>> Em 11-07-2013 11:58, Eng Eder de Souza escreveu: >>> >>> Oi Eduardo ! >>> >>> Se você não tem nenhum serviço de videotexto rodando neste servidor é >>> motivo para ficar preocupado, veja alguns serviços que rodam nesta porta : >>> >>> 20005 tcp trojan MoSucker trojan *SG* 20005 tcp trojan [trojan] >>> MoSucker *Trojans* 20005 tcp,udp openwebnet OpenWebNet protocol for >>> electric network *IANA* 20005 tcp btx xcept4 (Interacts with German >>> Telekom's CEPT videotext service) *SANS* 20005 tcp Mosucker [trojan] >>> Mosucker *SANS* 20005 tcp btx xcept4 (Interacts with German Telekom's >>> CEPT videotext service) *Nmap* >>> >>> >>> A porta 729 também é perigosa, permite descobrir remotamente quais >>> serviços rodam em seu servidor ! >>> >>> Ambas podem ser atacadas via DoS, possuem exploits no submundo ! >>> >>> Feche estas portas em seu firewall imediatamente! >>> >>> Veja quais serviços estão rodando desnecessariamente em mate todos... >>> >>> Fica complicado saber sem mais detalhes da invasão(logs), se estas foram >>> as portas de entrada ! >>> >>> >>> >>> >>> Em 11 de julho de 2013 11:30, Eduardo Pereira <edup...@gmail.com>escreveu: >>> >>>> Caros, bom dia! >>>> >>>> Tive um asterisk invadido e após isso percebi duas portas abertas >>>> chamadas netviewdm1 e btx!. >>>> Algum conhece estas portas? >>>> Fruto do ataque?? >>>> >>>> [root@pbx ~]# nmap 127.0.0.1 >>>> >>>> Starting Nmap 4.11 ( http://www.insecure.org/nmap/ ) at 2013-07-11 >>>> 11:28 BRT >>>> Interesting ports on localhost (127.0.0.1): >>>> Not shown: 1674 closed ports >>>> PORT STATE SERVICE >>>> 80/tcp open http >>>> 111/tcp open rpcbind >>>> 443/tcp open https >>>> 729/tcp open netviewdm1 >>>> 3306/tcp open mysql >>>> 20005/tcp open btx? >>>> >>>> Att >>>> _______________________________________________ >>>> KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; >>>> Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; >>>> Intercomunicadores para acesso remoto via rede IP. Conheça em >>>> www.Khomp.com. >>>> _______________________________________________ >>>> ALIGERA – Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. >>>> Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>>> Channel Bank – Appliance Asterisk - Acesse www.aligera.com.br. >>>> _______________________________________________ >>>> Para remover seu email desta lista, basta enviar um email em branco >>>> para asteriskbrasil-unsubscr...@listas.asteriskbrasil.org >>>> >>> >>> >>> >>> _______________________________________________ >>> KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; >>> Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; >>> Intercomunicadores para acesso remoto via rede IP. Conheça em www.Khomp.com. >>> _______________________________________________ >>> ALIGERA – Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. >>> Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>> Channel Bank – Appliance Asterisk - Acesse www.aligera.com.br. >>> _______________________________________________ >>> Para remover seu email desta lista, basta enviar um email em branco para >>> asteriskbrasil-unsubscr...@listas.asteriskbrasil.org >>> >>> >>> >>> _______________________________________________ >>> KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; >>> Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; >>> Intercomunicadores para acesso remoto via rede IP. Conheça em >>> www.Khomp.com. >>> _______________________________________________ >>> ALIGERA – Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. >>> Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. >>> Channel Bank – Appliance Asterisk - Acesse www.aligera.com.br. >>> _______________________________________________ >>> Para remover seu email desta lista, basta enviar um email em branco para >>> asteriskbrasil-unsubscr...@listas.asteriskbrasil.org >>> >> >> > > > _______________________________________________ > KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; > Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; > Intercomunicadores para acesso remoto via rede IP. Conheça em www.Khomp.com. > _______________________________________________ > ALIGERA – Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. > Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. > Channel Bank – Appliance Asterisk - Acesse www.aligera.com.br. > _______________________________________________ > Para remover seu email desta lista, basta enviar um email em branco para > asteriskbrasil-unsubscr...@listas.asteriskbrasil.org > > > > _______________________________________________ > KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; > Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; > Intercomunicadores para acesso remoto via rede IP. Conheça em > www.Khomp.com. > _______________________________________________ > ALIGERA – Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. > Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. > Channel Bank – Appliance Asterisk - Acesse www.aligera.com.br. > _______________________________________________ > Para remover seu email desta lista, basta enviar um email em branco para > asteriskbrasil-unsubscr...@listas.asteriskbrasil.org >
_______________________________________________ KHOMP: completa linha de placas externas FXO, FXS, GSM e E1; Media Gateways de 1 a 64 E1s para SIP com R2, ISDN e SS7; Intercomunicadores para acesso remoto via rede IP. Conheça em www.Khomp.com. _______________________________________________ ALIGERA Fabricante nacional de Gateways SIP-E1 para R2, ISDN e SS7. Placas de 1E1, 2E1, 4E1 e 8E1 para PCI ou PCI Express. Channel Bank Appliance Asterisk - Acesse www.aligera.com.br. _______________________________________________ Para remover seu email desta lista, basta enviar um email em branco para asteriskbrasil-unsubscr...@listas.asteriskbrasil.org