Проблема с трафиком, сервер взломали нужно устранить следствия взлома.

[Golovastik_kolya]

Взломали сервак с него уходит немерено трафика RX bytes:901034896 (901.0 MB)  TX bytes:755297501688 (755.2 GB) и это за сутки.
Не хватает знаний понять какой процесс делает данное дело. Как шлюз не используеться.
Пароли рут и пользователья сменил. в логах авторизации левых удачных логинов не вижу, постоянно идет перебор паролей.


ТС не появлялся на Форуме более полугода по состоянию на 17/07/2019 (последняя явка: 11/12/2017). Модератором раздела принято решение закрыть тему.
--zg_nico

[kmk]

в логах авторизации левых удачных логинов не вижу, постоянно идет перебор паролей.

Поставьте руту nologin и настройте sudo какому-нибудь, одному вам известному, пользователю с каким-нибудь неожиданным никнеймом.
Установите и настройте fail2ban. Будут подбирать до конца своих дней или оставят эту затею.

[Golovastik_kolya]

ок сделаю данные рекомендации но трафик все равно уходит, а как определить какой имено процесс демон флудит трафик немогу. С 10 утилит попробовал но или не разобралсья или они не смогли мне показать кто флудит икак его убить

[bezbo]

попробуйте help.ubuntu

[Golovastik_kolya]

Я очень не люблю просить помощи люблю сам справляться за 8 лет в адмнистрировании во всем интернете отсилы 5 постов, направить на хелп или гугл вариант но к сожелению перед етим вопросом я гуглил сутки, но так и не нашол как сделать мониторинг трафика по процесам. Прошу от вас тех кто джавно собаку сьел в линуксе подсказать какой командой с каким ключем мне ето увидеть. Половину того что вы мне скидивали уже пробовал но или не разобрался как глянуть или не тем пользовалсья. по факту я могу глянуть куда ушол трафик по 0,8-1,2 гб на разные китайские сервера за раз. но какой процес ето делает пока непонимаю

[bezbo]

за 8 лет в адмнистрировании

однако...

Код: [Выделить]

netstat -nputw

[svtv1]

Может это поможет

(Нажмите, чтобы показать/скрыть)

     Мониторинг активности пользователей в системе с acct
Утилита acct или psacct отличный инструмент для мониторинга пользователей и приложений которые работают или работали в системе. Программа тихонько работает в режиме background и собирает в логи информацию. Сам пакет состоит из нескольких утилит которые будут описаны ниже в статье. Программа будет интересна и системным администраторам и владельцам компьютеров, на которых содержится множество рабочих учетных записей. Так же программа позволяет отслеживать количество ресурсов потребляемых тем или иным приложением. Честно говоря не знаю, так уж много от нее пользы, однако возможно вам она окажется полезной.
Установка и настройка acct
Пакет acct содержится по умолчанию в репозитариях Ubuntu по этому установка программы предельно проста:
Для Ubuntu:
sudo apt-get install acct
/etc/init.d/acct start
или
sudo -c 'service acct start'

Так уж получилось, что в Ubuntu программа собрана с маленьким «багом», она ищет свой конфиг немного не в том месте, вот тут /var/account/pacct, это легко исправить найдя сам конфиг в Ubuntu, он вот тут /var/log/account/pacct, исправляем с помощью символьной ссылки:

sudo ln -s log/account /var/account
Теперь все утилиты из пакета acct будут работать корректно.
Пакет acct
Сам пакет состоит из следующих утилит:
ac — печатает статистику о времени которое пользователи провели находясь в системе
sa —инфа о выполненных командах и запущенных приложениях, пользователей и т.д.
lastcomm — смотреть последние выполненные команды
accton — включить\выключить сбор инфы

Ну и теперь некоторые полезные принты вышеописанных программ.
ac  --  время (в часах), которое пользователь провел в системе.
ac -d --инфа за текущий день:
ac -y  --время проведенное за год:
total      622.83
ac -p  --вывод для каждого пользователя в системе:
lastcomm  --можно посмотреть, каким было последнее действие пользователя, т.е. что он запустил, какую программу использовал и т.д.
lastcomm root  --посмотреть последние действия определенного пользователя
lastcomm ssh  --кто и когда пользовался той или иной программой:
lastcomm > fileP  --список всех программ которые использовались в системе от запуска acct:
sa -u  --показывает какие юзеры были и чё они делали, а так же, сколько ресурсов (процессорного времени и памяти) отдавали программы, которые были ими запущенны:
sa -m  --количество процессов и количество использованного CPU времени, которые уже были использованы до настоящего времени.
sa -a  --все программы которые были запущенны на вашей машине: 
sa -c  --от большего к меньшему значению программы которые использовали ваше процессорное время, и больше других загружали систему, а так же время использования последних в процентах: