Newsgroup: it.comp.sicurezza.varie
Titolo: Hackato, che fare?

ciao a tutti,sono entrato da poco nel mondo di linux (suse 7.0) e oggi mi
sono accorto nella mia home una dir sospetta "/.. ", entrandoci ho trovato
vari exploit, i relativi eseguibili e un eseguibile per una shell credo,
allora ho dato un' occhiata a /var/log/messages e in concomitanza con la
data di creazione dei file ho trovato alcune righe sospette che vi copio
(scusate la lunghezza del post) in caso voi sappiate aiutarmi dato che non
sempre ci capisco molto.
I log risalgono a fine giugno, i primi giorni in cui mi connettevo con linux
in cui avevo ancora tutte le porte aperte, poi il file termina il 1° luglio
e da allora quando accendo mi da un messaggio di errore "disabled syslog
syslogd"
C'entra qualcosa?
Che posso fare per mettere un po' a posto la situazione? Dovrei aver cercato
i file con il SUID settato e ho eliminato una dir "sospetta", poi che altro
posso fare?
Se avessi una backdoor istallata come mene potrei accorgere? ora ho fatto
nmap -p 1-65667 e di porte aperte ho solo la 6000 X11...
QUalsiasi consiglio e' ben accetto (per favore siate chiari , sono molto
agli inizi..)
Grazie 1000 anticipate per l' aiuto, ecco il log:
--
Gordon
Jun 24 19:37:07 linux in.telnetd[1065]: connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:37:29 linux login: FAILED LOGIN 1 FROM 
ppp-68-95.30-151.libero.it
FOR gord$
Jun 24 19:42:46 linux in.telnetd[1078]:connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:46:25 linux in.telnetd[1128]: connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:46:34 linux login: FAILED LOGIN 1 FROM 
ppp-68-95.30-151.libero.it
FOR gord$
Jun 26 22:05:00 linux /USR/SBIN/CRON[1018]: (root) CMD ( test -x
/usr/sbin/texpire &&/usr/sbin/texpire)
Jun 28 21:59:43 linux in.telnetd[971]: connect from 151.30.76.135
(151.30.76.135)
Jun 28 22:05:00 linux /USR/SBIN/CRON[1302]: (root) CMD ( test -x
/usr/sbin/texpire && /usr/sbin/texpire)
Jun 28 22:39:34 linux in.telnetd[1433]: connect from 151.30.76.135
(151.30.76.135)
Jun 28 22:46:12 linux in.ftpd[3630]: connect from 151.30.76.135
(151.30.76.135)
giu 28 23:05:32 linux su: FAILED SU (to root) gordon on /dev/ttyp2
Jun 28 23:06:54 linux in.ftpd[4235]: connect from 151.30.76.135
(151.30.76.135)
giu 28 23:21:11 linux PAM-unix2[726]:session finished for user root, service
xdm
giu 28 23:22:01 linux PAM-unix2[4317]: session started for user root,
service xdm
Jun 30 19:23:12 linux sshd[410]: RSA key generation complete.
Jun 30 19:23:32 linux login: FAILED LOGIN 1 FROM /dev/tty1 FOR UNKNOWN, User
not known to theunderlying authentication module
Jun 30 19:29:30 linux useradd[933]: new user: name=nftp, uid=502, gid=100,
home=/home/nftp, shell=/bin/bash
Jun 30 19:29:39 linux su: (to nftp) root on /dev/tty1
Jun 30 19:34:02 linux su: (to nobody) root on none
Jul  1 15:12:59 linux sshd[416]: Server listening on 0.0.0.0 port 22.
Jul  1 15:13:07 linux /usr/sbin/cron[448]: (CRON) STARTUP (fork ok)
Jul  1 15:30:56 linux in.rlogind[984]: warning: can't get client address:
Connection reset by peer
Jul  1 15:30:56 linux in.rlogind[984]: connect from unknown (unknown)
Jul  1 15:30:56 linux rlogind[984]: Can't get peer name of remote host:
Transport endpoint is not connected
Jul  1 15:31:04 linux inetd[986]: getpwnam: nobody: No such user
Jul  1 15:31:10 linux popper[988]: warning: can't get client address:
Connection reset by peer
Jul  1 15:31:10 linux popper[988]: connect from unknown (unknown)
Jul 1 15:31:10 linux popper[988]: error: cannot execute /usr/sbin/popper: No
such f
Jul 1 15:31:12 linux in.ftpd[989]: connect from 151.25.41.140
(151.25.41.140)
Jul  1 15:31:12 linux ftpd[989]: getpeername (in.ftpd): Transport endpoint
is not connected
Jul  1 15:31:12 linux in.rshd[990]: warning: can't get client address:
Connection reser by pee
r
Jul  1 15:31:12 linux in.rshd[990]: connect from unknown (unknown)
Jul  1 15:31:12 linux rshd[990]: getpeername: Transport endpoint is not
connected
Jul  1 15:31:26 linux in.telnetd[993]: connect from 151.25.41.140
(151.25.41.140)
Jul  1 15:45:32 linux inetd[1075]: getpwnam: nobody: No such user
Jul  1 16:20:43 linux useradd[1263]: new user: name=nftp, uid=502, gid=100,
home=/ho$
Jul  1 16:30:49 linux userdel[1413]: delete user `nftp'
(qui al login grafico avevo trovato questo utente e lo avevo cancellato
insospettito...)
Jul 1 17:18:33 linux inetd[880]: execv /usr/sbin/swat: No such file or
directory
Jul 1 17:18:33 linux in.ftpd[881]: connect from 62.122.34.54 (62.122.34.54)
Jul 1
17:18:34 linux popper[882]: connect from 62.122.34.54 (62.122.34.54)
Jul 1 17:18:34 linux popper[882]: error: cannot execute /usr/sbin/popper: No
such f$
Jul 1 17:18:34 linux in.rshd[883]: connect from 62.122.34.54 (62.122.34.54)
Jul 1 17:18:34 linux rshd[883]: Connection from 62.122.34.54 on illegal port
Jul 1 17:18:34 linux in.rlogind[884]: connect from 62.122.34.54
(62.122.34.54)
Jul 1 17:18:34 linux inetd[885]: getpwnam: nobody: No such user
Jul 1 17:18:34 linux in.telnetd[886]: connect from 62.122.34.54
(62.122.34.54)
Jul 1 17:18:34 linux rlogind[884]: Connection from 62.122.34.54 on illegal
port
Jul 1 17:18:34 linux rlogind[884]: PAM pam_end: NULL pam handle passed
Jul  1 17:18:34 linux sshd[887]: Did not receive ident string from
62.122.34.54.
Jul 1 17:18:34 linux rlogind[884]: PAM pam_end: NULL pam handle passed
Jul 1 17:18:34 linux sshd[887]:Did not receive ident string from
62.122.34.54.
Jul  1 17:18:34 linux telnetd[886]: ttloop: read: Broken pipe

 allora ho dato un' occhiata a /var/log/messages e in concomitanza con la
Complimenti, se ci fosse un premio per la macchina piu' bucata l'avresti
vinto senz'altro.
A questo punto, con una macchina che sicuramente e' pesantemente
compromessa faresti prima a reinstallare tutto e prima di connetterti di
nuovo leggere qualcosa sulla sicurezza (per es. le FAQ di
it.comp.sicurezza.varie che trovi su 
http://members.nbci.com/gouldukat/
e poi per altri links sulla sicurezza guarda sulla pagina dei links di
http://cslug.linux.it
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

directory
Uuh. swat che parte da inetd: una chicca. Prova a fare:
	grep swat /etc/inetd.conf
e a postare il risultato.
Leonardo
-- 
"Open Source programs are designed and developed.
 Our products are tested."
 Steve Lipner, manager, Microsoft Security Response Center


--
Outlook la vera intelligenza artificiale

 servizi di inetd, in sette minuti avresti consumato (3630-1433) proc-ids?
Cioè cosa vuol dire ? Spieghi meglio per favore ?
Ciao
Gianluca

??? scusa questo post???
gordon

 
http://cslug.linux.it
ok, seguiro' i consigli...
al max per eventuali dubbi mi date una mano , ok? :)
grazie per la risposta..
Gordon

 grazie per la risposta..
De nada.


 Siamo sempre qui :)
vedo, mi hai risposto in tempo reale!!!!
cmq forse ho sgamato chi e' stato,uno che avevo in icq, questo spiega  anceh
come ha trovato sempre il mio ip....
ipotizzando che non abbia messo rootkit devo formattarel o stesso?
tnx :)
Gordon

Cioč cosa vuol dire ? Spieghi meglio per favore ?
Ogni volta che viene attivato un processo, Linux ricicla un process ID, che
mi pare vada da 1 a 32767.
Inoltre, syslog registra il programma chiamante completo di PID.
Quindi, se alle 22:39:24 vedo in.telnetd[1433] e alle 22:46:12 vedo in.ftpd
[3630], significa che in quei sette minuti il process counter e' salito dai
1433 di prima a 3630. Trecento PID al minuto: notevole.
Questo e' un server (indovinate quale e' il servizio misterioso) e cucca un
quaranta PID al minuto proprio a esagerare:
Jul 23 13:41:43 [6992]
Jul 23 13:46:43 [7172]
Jul 23 13:51:43 [7314]


Grazie Leonardo

 tnx :)
io al posto tuo la formatterei, probabilemente il rootkit l'ha messo, e la
presenza di exploit vari, mi dà l'idea che abbiano utilizzato la tua
macchina come base per attacchi. Forse una denuncia da parte tua sarebbe il
caso.

 come ha trovato sempre il mio ip....
Beh scegli meglio i tuoi amici su ICQ da ora in poi, eviterai dei
problemi inutili.


 quaranta PID al minuto proprio a esagerare:
Apache? :-)


 e a postare il risultato.
Swat is the samba web administrator tool
#swat stream tcp nowait.400 root /usr/sbe/swat swat
cosa significa tutto cio' ?
grazie della risposta (e della pazienza.. )
^____^
Gordon

 Apache? :-)
Mi sembrano un po' altini, quei numeri, per essere di Apache...
Bye,
 Emmanuele.
-- 
I ... Owe ... You ... Pain! -- Willow, "Tough Love"
GnuPG Key ID: 0x788E3A3A
GnuPG Key FP: 4DD0 C90D 4070 F071 5738  08BD 8ECC DB8F A432 0FF4

 Mi sembrano un po' altini, quei numeri, per essere di Apache...
Boh, io pensavo ad Apache o al massimo a Squid, altri non me ne vengono
in mente..


Apache? :-)
No. Osserva bene gli orari, che e' l'unico indizio che hai :-)
(E non preoccuparti: il server risponde alla richiesta, ma poi disinfetta i
sockets).


cosa significa tutto cio' ?
Che era possibile, da remoto, prima che ci fosse quel "#" a salvarti, dare
accesso a parti significative del tuo hard disk a esterni che usassero Win
(o compatibili). 'na bellezza.


 sockets).
Ok, 5 minuti fra ognuno... qualche redirect di Squid? :-P


Ok, 5 minuti fra ognuno... qualche redirect di Squid? :-P
Autluk.


 Autluk.
    _                    _     _ 
   / \   _ __ __ _  __ _| |__ | |
  / _ \ | '__/ _` |/ _` | '_ \| |
 / ___ \| | | (_| | (_| | | | |_|
/_/   \_\_|  \__, |\__, |_| |_(_)
             |___/ |___/         


 i file col bit suid settato e di sospetto c'era solo una dir
il problema e': con cosa hai cercato? perche' se hai usato file
presenti sul tuo pc devi partire dal presupposto che siano
compilati ad arte per nascondere date e dimensioni diverse,
porte aperte e utenti connessi, chi ti dice che netstat sia
quello vero? ls? e ls sara' buono? e login? non e' che ti
accetta user k4l e pass qualsiasi, senza loggare? un rootkit e'
un simpatico gruppo di programmilli che vanno a sostitutire gli
originali omonini per evitare che il vero root si accorga degli
ospiti. tripwire su supporto rimovibile aiuterebbe, se
installato *prima* del fattaccio.
purtroppo l'unico modo per essere certi di non avere ospiti e'
reinstallare, leggersi ipchains & tripwire howto ;)
-- 
nebbia

 reinstallare, leggersi ipchains & tripwire howto ;)
saranno le mie 2 letture dei prossimi giorni :)
grazie della risposta :)
Gordon

 (o compatibili). 'na bellezza.
eheh il  # l' ho messo io :) , a volte ho intuizioni giuste :PP
in effetti lo ho fatto perche' conosco samba e il suo utilizzo, ora ho
capito il comando cosa serviva :)
Grazie 1000 anceh a te Leonardo :) per la pazienza...
spero di diventare in fretta un po' piu' bravo ^__^
ciao!
Gordon

 Autluk.
Oddio... O________________________________________________o


 ??? scusa questo post???
Credo voglia dire che il tuo sistema e' partito per l'iperspazio a
curvatura 9. Anche secondo me faresti meglio a reinstallare, se ti sono
entrati nel sistema non puoi piu' fidarti di NIENTE in /bin, neanche di
ls o ps perche' non puoi essere sicuro che uno o piu' eseguibili non
siano stati sostituiti con versioni trojanate o addomesticate, per
esempio un ls che non ti fa vedere "certi" file o directory, o un ps che
ti nasconde certi processi e/o faccia finta di ucciderli, o uno shutdown
che faccia "rm -rf /" per cancellare le tracce (assumendo che se il
sistema viene tirato giu' e' perche' il sistemista si e' accorto di
qualcosa e quindi il modo migliore per non far scoprire quel che e'
successo e' suicidare il sistema stesso).
-- 
Abrogato l'art. 21 della Costituzione Italiana:
 
http://punto-informatico.it/petizione.asp
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 1433 di prima a 3630. Trecento PID al minuto: notevole.
Potrebbe essere un indizio in piu' che l'hanno usato per fare qualche
attacco. Forse tutti quei processi sono stati lanciati da quanche
toolszzzzzz da guerra contro chissa' chi.
