Newsgroup: it.comp.sicurezza.varie
Titolo: Slapper .cinik [lungo]

Salve a tutti,
non credo di dire una novità segnalando che anche io sono vittima dello
slapper .cinik.
Da quello che ho capito si tratta di una variante rumena del .bugtraq che
sfrutta una falla di Apache.
Chiedo il vostro aiuto per risolvere il problema, e per ricevere consigli.
L'altra settimana mi accorgo che da 15 minuti la rete è inservibile e gli
utenti non riescono a navigare usando l'ADSL.
La nostra configurazione è la seguente: Router ADSL -> Server Linux RH
7.3 -> Rete W98.
I compiti del server sono Web Server con Apache e MySQL, il server è
visibile sulla rete interna con un ip del tipo 192.168.x.x e all'esterno con
uno degli ip del pool della ADSL. L'ADSL e con contratto full business
Telecom.
Cerco di capire se è un problema di ADSL o del server. Con un ps -aux | more
trovo in esecuzione un file sconosciuto /tmp/.cinik che killo immediatamente
e magicamente vedo tornare tutto alla normalità.
OK, mi hanno bucato :-(
Capirai che sforzo, sono un newbie, sto ancora cercando di capire come
funziona iptables/ipchains, lascio l'ftp e il telnet su... Colpa mia.
Mi ricordo che in area si parlava di slapper, un pò di ricerche e nel giro
di un'oretta ne so di più, molto di più... :-)
Capisco l'importanza di aggiornare il sistema, delle patch e dei Bugfix...
Si vede il capo cosparso di cenere? :-)
Così mi rimbocco le maniche, cambio il disco del server con un altro nuovo,
mi conservo il vecchio, nonsisamaisedevofarequalchedenunciacisonotuttiilog e
a disco "vergine" reinstallo la mia RH 7.3.
Il resto della giornata lo passo scaricando gli rpm di aggiornamento per la
sicurezza di RedHat tra cui la patch per Apache.
Rimetto su Apache e l'FTP ma non il telnet. Tutto OK, sono le 19.30 è ora di
tornare a casa.
Stamani, tutto contento finisco di configurare le ultime cose e mi accingo a
recuperare i dati delle pagine Web e i db di MySQL dal backup (okkio solo le
pagine html e i dump dei database), mentre sono lì che mi accingo a fare
questa operazione lancio per sicurezza (o per mania) un ps -aux e chi ti
trovo?
/tmp/.cinik !!!!!
Ca%%o è ancora lì, si è già rimpossesato del sistema, ma come? la patch? i
bug fix? hai lasciato l'FTP su stanotte (cog%%one!) ma chi cavolo...?! :-(
Sono stufo...
Sto riformattando, ripartizionando....
l'RJ45 della rete è scollegato... ma dovrò ricollegarlo...
Cosa mi consigliate di fare?
... spararmi o darmi all'ippica non è la risposta esatta :-)
Claudio Di Cesare

 /tmp/.cinik !!!!!
Per l'analisi:
http://isc.incidents.org/analysis.html?id=169
segui le raccomandazioni che trovi qui:
http://isc.incidents.org/analysis.html?id=167
evidentemente  non hai patchato ssl.
Finche' non hai imparato a configurare bene linux, _NON_ fornire servizi 
all'esterno. Se non puoi/sai usare iptables/ipchains, _NON_ installare 
alcun apache/FTP server.
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM950 <<<
 
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

 Finche' non hai imparato a configurare bene linux, _NON_ fornire servizi
Magari potessi...
Hai perfettamente ragione ma ci sono altre cause che mi obbligano a fornire
servizi e nel frattempo imparare, confido molto nella fortuna e l'aiuto di
personaggi come te...
Volevo chiederti (forse... sicuramente un eresia), visto che non uso nè SSL
nè SSH, potrei disabilitare quei demoni (evitando di scoprire altri
"fianchi") o ci potrebbero essere ripercussioni su altri servizi?
Considera che l'uso che faccio del server è: Web server + MySQL + Php.
Non devo fare altro (nemmeno uso di posta elettronica).
Cosa potrei disabilitare?
Inoltre, mi pare di aver capito ce .cinik non può veicolarsi su reti W98,
nel senso che visto che il server è poi collegato ad una rete W98, non devo
temere che il worm rientri da li... (o sbaglio?)
Grazie
Claudio Di Cesare

 temere che il worm rientri da li... (o sbaglio?)
Non sbagli, per quel che riguarda quel worm.
Ma poiche' il tuo server e' anche il firewall, un intruso potrebbe 
facilmente entrare nella rete windows e... spero non abbiate dati 
personali e/o sensibili.


 personali e/o sensibili.
Per quelli ci sono sempre i due santi citati poco fa...
Spero siano sufficienti... :-)
Grazie mille
Claudio Di Cesare