Ada aktifitas service yang mencurigakan dengan nama yang random, total ada 11 nama service. Salah satunya a2y1nu3vowgd.service, setelah dibaca isinya sebagai berikut
[Unit] Description=System Service After=network-online.target Wants=network-online.target [Service] Type=forking ExecStart=/var/tmp/d0n20hrf1i/a2y1nu3vowgd Restart=no [Install] WantedBy=multi-user.target
Berikut file nya: a2y1nu3vowgd.txt saya rename ke *.txt agar bisa di upload di wordpress. Saya pakai tools buat bongkar kode nya https://dogbolt.org/?id=2dbfce83-e83f-4e24-b28a-53baf60e8563#Reko=364&Hex-Rays=18, saya menggunakan kuna sebagai reverse tools nya
dari keterangan chatgpt didapatkan keterangan sebagai berikut
Inti kode ini tampaknya program Linux yang bekerja sebagai bot atau malware, bukan aplikasi biasa. Fungsi utamanya (sub_4001d0) menggunakan pemanggilan sistem Linux secara langsung untuk:
- mencari lokasi penyimpanan sementara yang cocok, lalu membuat file penanda seperti
.sysd.pidatau.britpiddan.botlk; - membaca ID proses dari file tersebut dan memeriksa apakah proses itu masih berjalan;
- memakai file lock untuk mencegah beberapa salinan berjalan bersamaan;
- menjalankan banyak operasi tingkat rendah lainnya.
Nama file dan pola pengecekan proses tersebut mengarah pada mekanisme single-instance atau persistensi, tetapi potongan panjang ini belum cukup untuk memastikan keluarga malware atau semua tindakannya. Banyak sub_... yang terlihat di bagian akhir tampaknya merupakan fungsi pustaka umum, bukan inti program.
Jangan jalankan binarinya. Jika file itu ada di komputer Anda, batasi aksesnya dan minta analisis lebih lanjut berdasarkan sumber file, hash, serta bagian fungsi yang melakukan komunikasi jaringan atau mengunduh/menjalankan berkas.
Ternyata ada 11 service yang mencurigakan telah tertanam di server.
3um7ymad0kvx.service4rkz0vrq2r2z.service5ba1izrt1186.servicea2y1nu3vowgd.servicebyaa9kr0z6jc.servicef3zamref7ji1.servicend9m9kkt7sml.servicerhlwhuenkacm.servicetjjqzk47mdkx.servicetvo0zs0dugru.servicex8gzgvx7tuaw.service