Newsgroup: it.comp.sicurezza.varie
Titolo: Trovo files strani in giro!!

Che brutto titolo...comunque, uso linux da piu` di 1 anno e mezzo,
Debian 2.2, 6/7 server in ascolto, smtp, nntp, web, mysql, junkbuster,
wwwoffle, pdnsd, _tutti_ bindati su localhost *e basta* oppure su eth0,
niente su (i)ppp0. Faccio spesso un portscanning da dei siti appositi,
ma anche netstat e nmap sulle varie interfaccie. Mi insospettisco subito
appena vedo una porta strana da netstat, e vado di fuser... sto
diventando paranoico. Anzi lo sono sempre stato, ma a differenza di
quando usavo win ora ci tengo al sistema, e molto.
Bhe` il problema e` che mi ritrovo dei files strani nella home
directory, io sono certo di non averceli messi, e su questa macchina ci
sono solo io. In particolare mesi fa trovai un .mp3 da 4.4MB che non
avevo idea di che fosse .... giustificai il fatto con delle prove di
gnapster che avevo fatto, ma _io_ non l'ho scaricato, semmai era
qualcosa in automatico. 
Mi misi l'anima in pace, quando _oggi_ mi trovo un .mp3 da 244k, di nome
Väs-Claerence.mp3, notate la ``ä'', alquanto sospetta....
Ora sono in crisi....non so che fare....
E` possibile capire se il sistema e` stato compromesso?
Ci possono essere stati software che l'hanno scaricato automaticamente?
Preciso che _non_ ho usato napster/gnutella da quella volta, sono
passati vari mesi dunque. Ecco ho in questi giorni scaricato LAME per
compilarlo e constatare il guadagno con ottimizzazioni in fase di
compilazione.... ho scaricato anche bladeenc, ma non .mp3.... il
benchmark consisteva solo in un rip da cd + encoding, non ho scaricato
nulla.
Il software che uso abitualmente e` questo:
licq, xchat (questo ha impostazioni di default, dubito ci sia
l'autoricezione, e comunque un 'amico' non mi avrebbe spetiro un file
con quel nome, e poi frequento pochi canali, e canali di gente non
esperta, precisamente di QuakeNet..figuratevi...in #linux avrei piu`
timore :=) ), mozilla, galeon, realplayer (poco), opera....e direi
basta....
C'e` qualcosa che posso fare?
Non vorrei reinstallare (dopo 1 anno) per sola paranoia, anche perche`
poi 'cosa' salvo, 'cosa' dovrei ritenere "pulito" e cosa "insicuro"?
Le centinaia di MB di aggiornamenti di Debian (ximian 1.4, xfree 4,
kde2) dovrei riscaricarmeli a sto punto, perche` non li potrei
considerare sicuri al 100%......
help please!! :(
Ciao, `matte.
-- 
err: signature too big

 Väs-Claerence.mp3, notate la ``ä'', alquanto sospetta....
Ma hai provato ad usare file(1) su quell'MP3 per verificare se e'
veramente un Mp3 oppure un file di qualche altro tipo? BTW dato il SW
che dici di usare mi pare molto insolito il ritrovarsi dei file Mp3,
anche perche' non vedo come cio' potrrebbe compromettere il sistema. Non
mi risulta nulla che possa nascondere che so, un format bug o qualcosa
del genere per cui io non mi preoccuperei piu' di tanto. Ascoltalo e poi
al massimo cancellalo :)
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

 al massimo cancellalo :)
Lo faro` e faro` finta di niente, ma il dubbio resta.
Ah dimenticavo, ho usato anche grip. Il tutto su Debian 2.2, kernel 2.4
e firewall di MrShark adattato a iptables piu` alcune modifiche, tutto
il software preso da sorgenti ufficiali, a parte xfree4 e enlightenment.
E il brutto e` che questo pc rimane online molto tempo.
Mi metto l'anima in pace? Non c'e` nessun modo, anche drastico, per
verificare sia tutto pulito? Un installazione di tripwire, a questo
punto, potrei considerarla "utile" ?
Grazie.


 e firewall di MrShark adattato a iptables piu` alcune modifiche, tutto
Non è che *gentilmente* mi invieresti per e-mail il tuo script firewall
adattato per iptables? Ne avrei un gran bisogno e mi faresti un gran
piacere.
Grazie anticipatamente.
Sandro
(
sandrod...@hotmail.com
)

 punto, potrei considerarla "utile" ?
Installare tripwire su una macchina che non sia pulita, cioe'
reinstallata da zero non serve a niente.


 Bhe` il problema e` che mi ritrovo dei files strani nella home
una email da un amico, salvata senza darci un'occhiata?
-- 
nebbia

 reinstallata da zero non serve a niente.
Vero.... :(
Grazie di nuovo.


 una email da un amico, salvata senza darci un'occhiata?
Purtroppo sono sicuro di no.
Certo e` capitato in  un periodo (cioe`, e` stato 1  solo giorno) in cui
ho provato lame e bladeenc per fare dei bench, ma come dicevo l'ho fatto
solo con un  rip da CD, non  ho scaricato mp3. Il  sospetto che, magari,
fosse un file di test allegato a  uno di questi software resta. Pero` e`
un  .mp3  da  244kb  e  risulta "troncato",  cioe`  la  canzone  finisce
brutalmente come se  il trasferimento fosse stato  bloccato. Bho`, forse
e` meglio che, come suggerisce thorin, mi metta l'anima in pace....
Se non  altro faro`  un po  di controlli a  mano nelle  pass, e  cose di
questo tipo.


 Grazie di nuovo.
De nada.


 Secondo me e' inutile, ripeto...
ok ok, ci metto una pietra sopra... ;-)


 ok ok, ci metto una pietra sopra... ;-)
E non pensarci piu', consiglio che non si paga ;-)


 questo tipo.
bah, a questo punto inserisci in /etc/crontab
1 0 * * *   root find /home/mauri -name *.mp3 -exec ls -l {} \; | mail mauri
almeno sai quando compare ;) e installa tripwire, se sei
ragionevolmente certo che il sistema non e' compromesso, e
se comunque non vuoi reinstallare, almeno noti i cambiamenti
sospetti d'ora in poi.
-- 
nebbia

 sospetti d'ora in poi.
Hai anche ragione, in realta` lo installai una volta, per poi mollare
visto che modificavo files di sistema di continuo ;-9
Grazie di tutto ;)


fare con i files Mp3 per cui secondo me puoi stare piu' che tranquillo.
Invece, mi pare che ci fosse un problemino riguardante gli eseguibili
elf e mpg123, che permetteva di eseguire del codice facendo leggere a
quest'ultimo un file mp3. Poi nin zo', al tempo me ne fregai.

 quest'ultimo un file mp3. Poi nin zo', al tempo me ne fregai.
Uhmm, un file .mp3 ma che di mp3 aveva solo l'estensione? Giusto?
Spero...perche` quel file .mp3 si sentiva perfettamente, era una canzone,
brutta, ma lo era ;-)


 2.4 e firewall di MrShark adattato a iptables piu` alcune modifiche,
Non e` che puoi spedirmi lo script, cosi` passo anch'io a iptables? ;)
O meglio, spedirlo a MrShark?
-- 
Renato "Hitman" Salzano - 
http://spazioweb.inwind.it/hitman/
 
e-posta : sonicblast (at) 
inwind.it
 / Xena:TWP fan
Webdesigner / indegno sysadmin di 
www.italservicesnc.it
 
Powered by Debian 2.x (Woody) on a K6/2 box - 100% Wintel free

 O meglio, spedirlo a MrShark?
Fatto.


 Fatto.
Non è che *gentilmente* lo spediresti anche a me?
(
sandrod...@hotmail.com
)
Grazie mille anticipatamente,
Sandro