Newsgroup: it.comp.sicurezza.varie
Titolo: "possible ShowTee rootkit installed"????

Hello... arieccomi a dovermi improvvisare cacciatore di rootkit.
Quasi quasi data l'aria di crisi smetto di fare il web developer e 
cambio mestiere :-)
Mi hanno chiamato un'altra volta per uno "strano" down di un sito. Il 
provider ha rebootato e tutto è andato su regolare. Faccio un giro per 
vedere che è successo e, sorpresa sorpresa, mi accorgo che sui log c'e' 
un "buco" di tutta la notte.
Altre anomalie non ne vedo, se c'e' su qualcosa adotta una tecnica di 
stealth ammodo... faccio un'upload di un chkrootkit con un set di binari 
"sano", e lo faccio girare. Non trova nulla di infetto ma mi dà il 
warning in oggetto... è un'ora che googlo ma di questo "ShowTee" non 
trovo che tracce inutilizzabili. Possibile sia solo un falso positivo? 
Qualcuno ha un'idea?
Bye!
-- 
Fabrizio "Hermooz" Ermini

 positivo? Qualcuno ha un'idea?
Il controllo l'hai fatto su macchina live?
HappyCactus che ha visto cose che voi umani...
-- 
HappyCactus - Linux User #209744 - YAGF 
http://www.google.com
 
http://pngstego.sourceforge.net
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 HappyCactus che ha visto cose che voi umani...
Sì, non ho scelta (io sto a firenze e la macchina a milano, non posso 
farla mettere fuori rete).
Lo so che se c'e' un rookit LKM che sta girando può nascondersi 
parecchio bene, ma di rootkit ne ho visti già un po' e uno che non 
lascia nessuna traccia di compromissione sul filesystem (è un'ora che 
giro e ancora non ne ho trovate nessuna, e con binari integri) mi pare 
strano.
-- 
Fabrizio "Hermooz" Ermini (FI)
Su BMW F 650 GS "Kandarino"

 strano.
_se_ si tratta di un rootkit, consiglio vivamente di staccare la
macchina al piu' presto.
Una verifica da fare, IMHO, e' quella di nmappare la macchina
completamente (TCP/UDP 1-65535) dallo stesso segmento di rete (quindi
niente nat).
se trovi una porta aperta che non c'era, corri a staccare la spina e ad
eseguire i rilievi del caso.
se trovi tutto normale, non e' detto che lo sia, quindi non sei
tranquillo.
Un'altra cosa da fare e' mettere il segmento di rete sotto sniffer ed
attendere. Ma neppure questo e' detto che tagli la testa al toro.
Se hai fondati motivi per sospettare una intrusione devi staccare la
macchina ed effettuare una analisi post-mortem. Tutte le altre
situazioni non tagliano la testa al toro.
HappyCactus che cadrebbe giusto a fagiuolo per unthread che ho in mente
da tempo... magari ne riparliamo dopo pranzo :p


 da tempo... magari ne riparliamo dopo pranzo :p
Volentieri :-)
-- 
Fabrizio "Hermooz" Ermini

 paranoico... :-)
Non e' che e' stata effettuata la rotazione dei log?!? A volte a me
capita di spaventarmi per nulla...
mmmh... e' solo il syslog che manca, oppure altro?


 mmmh... e' solo il syslog che manca, oppure altro?
Bè, c'e' il warning dato dal chrootkit che pero' mi sembra abbastanza 
poco significativo. Ho controllato lo script: quel test controlla 
l'esistenza di una manciata di file o cartelle e "trova" come sospetti 
dei file che hanno una loro ragione d'esistere... li ho controllati con 
uno strings sano e dentro non c'e' nulla di sospetto.
Sui log il "buco" è in "messages" ma potrebbe essere spiegabile con il 
down di sistema (copre circa dall'una di stanotte a stamattina alle nove 
quando è stato riavviato, ma soprattutto in "secure" dove praticamente 
mancano le 36 ore precedenti il down.
-- 
Fabrizio "Hermooz" Ermini

 tranquillo.
Beh, potrebbe esserci stato installato sopra comunque qualcosa solo che 
ora è dormiente. Pero' che diamine, se su disco fisso non c'e' nulla, 
non dovrebbe essere in grado di sopravvivere a un reboot, no?
bye!
-- 
Fabrizio "Hermooz" Ermini

 nulla, non dovrebbe essere in grado di sopravvivere a un reboot, no?
Cio' che vedi != cio' che e' nella realta'.
Un rootkit e' fatto proprio a questo.
magari tu chiedi il contenuto di /etc/init.d/rc2.d/ e lui ti mostra
quello di /etc/init.d/.rc2.d.original
Per il risveglio del rootkit con conseguente apertura della porta al
mondo, potrebbe bastare un icmp con window o ttl particolare...


 non dovrebbe essere in grado di sopravvivere a un reboot, no?
Del file system vedi quello che il kernel ti mostra...
Fabio

 Del file system vedi quello che il kernel ti mostra...
Lo so, lo so. Ma sto cercando di non farmi prendere dalla paranoia: 
oggettivamente sta cominciando a sembrarmi improbabile un attacco.
-- 
Fabrizio "Hermooz" Ermini

 trovano in giro per azzerare pezzi scomodi dei log.
Mm, non capisco bene cosa intendi dire... cioè, con "buco" io intendo 
semplicemente che non c'e' nessuna registrazione per un periodo di tempo 
continuo, cosa assolutamente anomala, e non escludo certo che sia dovuto 
ad una cancellazione intenzionale, anzi è proprio questo che mi ha fatto 
preoccupare :-)
