Port 1377 - Application: cichlid

[Havoc][]

Hat irgendjemand eine Idee was das sein könnte? chkrootkit sagt das alles in Ordnung ist. Aber irgendwie kommt mir der Port (sieht ziemlich nach 1337 aus) komisch vor.

Havoc][

 

[foexle]

da hast du recht ... also hab grad mal bischen gegoogelt ich würde den schliessen
der port an sich sieht ja schon sehr verdächtigt aus ... und das spiegelt sich auch bei google wieder ..
anscheinend ist das ein sharing-port der über apache geöffnet wird

mehr weis ich auch nicht .. an deiner stelle ----> close port

 

[Havoc][]

mehr weis ich auch nicht .. an deiner stelle ----> close port

Ich hab beim Googeln ständig "IBM Lizenz Manager" gesehen. Aber den hab ich definitiv nicht installiert.

Port ist schon längst geschloßen. Aber ich muss halt wissen ob der Server kompromittiert wurde, weil ich ihn dann neu Aufsetzten muss :-(.

Havoc][

 

[foexle]

hmmm ... ja haste bisher irgendetwas bemerkt ? irgend eine beinträchtigung oder sonstiges?
ich würde einfach mal in den nächsten 12h dein Nettransfer beobachten
wenn er kompromitiert wurde, wird der jenige, der sich da eingeschlichen hat nicht tage lang warten ....

schau doch mal ob du nicht für so etwas ein shellscript schreibst, das das alte finger command wieder aufruft ... ich weis es sollte normal rausgenommen werden, aber du kannst das auch zu deinen gunsten einsetzten ...

aber schau dir einfach mal ein auszug aus deinem Transfer an ...
wenn du da auf anhieb nichts findest lass es sein, und google mal nach finger und sicherheritsmechanismen ...

hoffe das hilft dir ein wenig weiter

 

[nice2kn0w]

Servus, 1337 ist ein bekannter Port für die Shadyshell, die sehr gut zum Tunneln genutzt werden kann.

Es gibt allerdings auch andere Applikationen, die auf diesem Port lauschen
Schau mal unter http://isc.sans.org/port.html?port=1337

ansonsten würde ich mal in ner virtuellen Maschine die Shadyshell installieren und den Netzverkehr beobachten wenn Du dich damit verbindest und dabei auf Parallelen beim "befallenen" System achten.

Ich kann Dir gerne den Quellcode zukommen lassen per PM, lass es mich einfach nur wissen. Cheers