Newsgroup: it.comp.sicurezza.varie
Titolo: mi hanno bucato

Buongiorno.
Ho da porre un paio di domande riguardanti uno spiacevole episodio: sono 
tornato a casa oggi dopo 15 gg di assenza, e mi sono accorto che dall'8 
ottobre qualcuno si è impossessato del mio server casalingo (ftp ed ssh i 
servizi visibili dall'esterno). Il birichino ha installato un rootkit e ha 
cambiato la password di root, preoccupandosi di pulire per bene i files di 
log...
Qualche traccia sono riuscito comunque a raccoglierla: appena prima di 
uscire ha tentato di spedire una e-mail all'indirizzo 
expl...@yahoo.com
 
(qualcuno sa spiegarmi perché?) e nei log di ipchains ho trovato due IP 
(rumeni) dai quali avvenivano le connessioni (durate fino al 16) e un 
dominio (
riama.icafe.iasi.rdnet.ro
, infatti uno degli IP appartiene alla 
società rdnet).
Come faccio a sapere quali files hanno modificato e se hanno procurato 
danni?
Mi conviene reinstallare tutto oppure basta aggiornare i servizi visibili 
all'esterno tramite firewall (FTP ed SSH)?
Che ci posso fare con gli IP e l'indirizzo e-mail trovati?
Tenere aggiornati i server accessibili dall'esterno basta, o conviene 
aggiornare anche i servizi accessibili solo dalla rete locale (per via di 
regole di firewall), che sarebbero apache, squid, samba?
Grazie, Mat

 regole di firewall), che sarebbero apache, squid, samba?
La macchina la si tiene aggiornata sempre e comunque, sia per i servizi
normalmente accessibili, sia per quelli ad uso locale.
[*] Da cui, il secondo dogma del sysadmin:
Una volta completata l'installazione di un server, si eseguono alcune
cose:
1- se ne fa un backup.
2- si fa un backup della configurazione.
3- se ne fa un'altra copia
4- tramite tripwire si *fotografa* il checksum dei servizi.
5- si accende un cero a san ........(scrivere in stampatello il santo
preferito)
6- si prepara in carta libera una denuncia contro ignoti, in modo da
dover inserire solo i dati specifici dell'occasione, da presentare alle
autorita' di polizia, in caso di violazione del sistema.
Con i punti da 1 a tre semplifichi la rimessa in linea del server.
Con il punto 4 potresti scoprire cosa hanno fatto.
Puoi anche tentare con qualche programma tipo chkrootkit (o simili) che
appunto, cercanon tracce dei rootkit noti.
Purtroppo, funzionano solo per i root kit noti, un exploit manuale,
fatto su misura, non lo trovano.
Ad averne la certezza, il punto 5, da solo, potrebbe bastare.:-)
[**] Si inseriscono al punto sei della nota precedente, e si va, DI
CORSA al primo commissariato.
In quindici giorni, con un ftp aperto, ti possono aver usato per tutto
quello che volevano:
- attacchi ad altri server
- deposito di materiale illegale
- punto di transito di informazioni criminali, terroristiche, o altro
- punto di distribuzione di materiale scottante (va di moda il pedofilo)
- se sei fortunato, ti hanno solo usato per distribuire copie pirata di
XP, o dell'ultimo disco di springsteen, o del film della famosa
pornostar.
Ah, il punto sei, mndalo per copia anche al tuo provider.
PS: Non sono un avvocato, e visto che cio' che ti e' successo ha
implicazioni penali, ti consiglio di informarti su un gruppo piu'
specifico (it.diritto.internet, ad esempio) e di consultare un avvocato
in carne ed ossa.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

servizi visibili dall'esterno).
Eh.
Posso chiederti le versioni di ssh e (tiro a indovinare<g>) wu-ftp?

 Mi conviene reinstallare tutto
sě

regole di firewall), che sarebbero apache, squid, samba?
La seconda :-)
Leonardo
-- 
Questo messaggio è NAGWARE. Per disattivare ironia trita, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 
Non credevo che fosse così grave la faccenda... E' un piccolo server 
casalingo che uso per la condivisione della connessione. Non ha 
praticamente nessun sevizio: ho installato wu-ftpd (ma ora penso che 
passerò a proFTP) per poter lavorare sui miei documenti anche 
dall'università, pensavo che a nessuno interessasse una macchina del 
genere, quindi non mi sono neanche mai preoccupato di aggiornare il 
sistema... evidentemente ho sottovalutato il problema, d'ora in poi starò 
più attento (anche se in 20 mesi è la prima volta che mi succede).
Sull'HD ci sono 60MB di spazio disponibile, quindi non so se siano riusciti 
a scambiare qualcosa di troppo grande...
Siccome ho un IP semistatico (cambia in media una volta ogni 15/20 gg), non 
credo che siano arrivati a fare chissà cosa... Che ne pensate?
Grazie ancora per le numerose risposte!
Mat

 genere,
Il punto non e' questo, l'autore non sa che si trattava di "una macchina
del genere", non gli interessa. Lui cercava solo una macchina con cui fare
i suoi comodi, probabilmente ha scansionato il blocco di ip di cui fai
parte e ti ha trovato, dopodiche' ha visto quali servizi offrivi. Se il
suo scopo era trovare un file server per scambiare materiale(*) o da usare
come base per qualche ulteriore attacco, per lui era sufficiente che
esponesse certi servizi. Che poi fosse la tua macchina o quella della
NASA, poco importa.
(*) materiale, nel senso piu' ampio del termine. Foto pedo, crackz,
seriali di XP o i piani crittografati del prossimo attacco di Al-Qaida, o
anche solo la foto della sua terza gamba :-) da distribuire alle amiche.
Mentre preghi che sia quest'ultimo caso e non uno dei precedenti,
**___VOLA___*** a depositare quella denuncia.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 142WU/7877hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 credo che siano arrivati a fare chiss? cosa... Che ne pensate?
Questo potrebbe far pensare al ragazzotto, che appena e' cambiato IP,
non ti ha piu' trovato.
Certo, il paranoico la pensa diversamente, il teribbbbbile accher ha
visto che su quell'IP non c'era piu' quel macchinino cosi' accogliente,
e non ci prova piu', credendo che lo hai scoperto.


 Che ci posso fare con gli IP e l'indirizzo e-mail trovati?
quelli li puoi consegnare alle autorità giudiziarie se hai del tempo da
perdere, perchè non dimostrano assolutamente nulla, come è giusto che sia
i logs sono troppo facili da modificare, quindi non hanno valore, a meno che
non siano stati loggati dalla polizia
suppongo che tu dopo esserti accorto dell'intrusione abbia spento il pc,
cosa che invece non andava fatta, perchè uno dei sistemi validi legalmente è
il contenuto della ram, che spesso tiene traccia dell'accesso
In risposta ai vari consigli di format etc
prima di formattare controlla cosa è stato realmente compromesso, e se ne
sei in grado ripristina
se poi sei di torino, se vuoi posso darti una mano a ripristinare
tutto...tanto per divertirmi un po' :)
ah si, più che per spamming il tuo pc potrebbe essere stato usato per
scannare altre classi di ip, e questo darebbe un senso ai warns che hai
trovato, anche perchè per un mass spamming non c'è certo bisogno di rootare
una macchina, basta trovare un smtp malconfigurato (vedi i recenti probs di
linux.com
, vittima di spammers che hanno usato l'smtp per inviare migliaia
di mail, senza per questo averlo violato
bye