Newsgroup: it.comp.sicurezza.varie
Titolo: Sono entrati!!

 writes:
   2. Considera tutta la macchina come defunta, installa un OS da zero
      e copia dalla macchina vecchia i files di configurazione dopo
      averli scrupolosamente controllati. Non copiare binari se non
      sei sicuro che non siano stati modificati (checksum MD5
      ecc..). Tutto questo perche' la prima cosa che un cracker fa e
      installare una backdoor per il futuro.
Beh, insomma, non esageriamo, fallo solo se hai dati veramente
importanti sulla tua macchina o su quelle adiacenti, o se farlo non ti
crea grossi problemi.  Il tuo intrusore non deve essere diabolik,
altrimenti non avresti trovato quelle tracce.
A me successe una cosa del genere qualche anno fa.  Me ne accorsi
grazie ad un baco di bru (backup) che dava messaggi di errore
incontrando file il cui nome includeva uno spazio.  Dopo alcune
settimane di questi errori mi incuriosii e scoprii che qualcuno aveva
creato non ricordo dove una directory `...' (tanto per non essere
notata, immagino) con dentro un paio di eseguibili contenenti degli
spazi nei nomi (ma perche` poi?) che erano delle copie suid root di sh
e di qualcos'altro che non ricordo.  Inoltre aveva messo il bit suid a
ftp e qualche altro trucchetto che non rammento.  Il bello e` che misi
da parte tutti i log che potevo e, prima che facessi pulizia completa,
il tizio rientro` (senza lasciare nessuna traccia, stavolta) e mi
cancello` le copie che avevo fatto, nonostante avessi cambiato il nome
e la posizione!
Comunque, poi ho cambiato password, ho installato cops e gli ho fatto
fare un check completo, ho seguito i suoi consigli e mi sono rimesso
in rete.  Il tipo sara` andato a cercare una macchina piu` vulnerabile
(abbondano).  Ora faccio girare cops prima di ogni backup, con uno
script.  Ovviamente non ho dati preziosi su questa macchina, facciamo
ricerca pubblica.
Ciao, e auguri

 ricerca pubblica.
  :-( Gia', come si scriveva una volta sui documenti di accompagnamento dei
  nastri  "science data - no commercial value".
 
  Pero' qualcuno scrisse "commercial data - no science value" :-)
----------------------------------------------------------------------
nos...@ifctr.mi.cnr.it
 is a newsreading account used by more persons to
avoid unwanted spam. Any mail returning to this address will be rejected.
Users can disclose their e-mail address in the article if they wish so.

 ricerca pubblica.
Non e' una questione di dati importanti, e' una questione di sicurezza. Quando
qualcuno e' entrato nella tua macchina, o sei *CERTO* di aver controllato tutto
o devi reinstallare tutto.
Ciao!
-- 
 Daniele
--------------------------------------------------------------------
 Daniele Orlandi - Utility Line Italia - 
http://www.xt.net
 
 Via Mezzera 29/A - 20030 Seveso (MI) - Italy - FAX: 
++39(362)540153
--------------------------------------------------------------------

 writes:
   Non e' una questione di dati importanti, e' una questione di
   sicurezza. Quando qualcuno e' entrato nella tua macchina, o sei
   *CERTO* di aver controllato tutto
   o devi reinstallare tutto.
Si`, si`, lo so.  E` come quando hai gli scarafaggi in cucina.  Se non
sei certo di aver pulito tutto dopo averli ammazzati, le uova si
schiudono e siamo al punto di prima.  Ma *quanto* devi essere sicuro?
Basta pulire tutto quel che si vede?  Bisogna tirar giu` i pensili?
Bisogna smontarli?  Bisogna smontare i fornelli?  E il retro del
frigorifero?  E il di sotto della lavatrice?  A un certo punto bisogna
fermarsi, e il punto dipende dalla tua paranoia (giustificata o meno).
Oppure non ti fermi, vai in fondo e reinstalli tutto.
Comunque, ora che ci penso, i binari li ho ricopiati dal nastro
originale...