Y’a quelques jours je me suis retrouvé avec un graph MRTG très coloré.

Le « top » de mon serveur affichait deux process EXE qui tournaient en consommant quasiment toute la puissance du processeur.
Il s’agit d’un backdoor, exécuté grace à une faille d’un des scripts présent sur le serveur. Heureusement ce script n’a aucun provilège, et ne peut donc causer d’autres conséquences que la surchauffe du serveur.
Ces process n’apparaissent pas avec la commande « ps auxw ».
Il faut les chercher dans « /proc ».
Pour les supprimer, voici la commande à lancer :
find /proc/ -name exe -ls 2>/dev/null | grep tmp ; killall -9 exe

Après ça il faut trouver comment ce backdoor est arrivé sur le serveur, pour éviter que le problème ne réapparaisse.