Newsgroup: it.comp.os.linux.iniziare
Titolo: ore 22.30, un hacker si prende il mio pc linux in dial up!

Ciao a tutti,
come ho scritto...son rimasto di ... gesso.
Lun. sera ore 23.00 stavo aggiornando un sito,
Galeon si piantucchia..la shell si blocca...
Mi loggo fuori da X e ...sorpresa:
avevo un utente in piu' di nome "ardo"
Provo a rientrare con il mio utente...niente...
Intato spengo il modem al volo...
Rientro come root...cancello tutti gli utenti
inutili, cambio tutte le passwd, tolgo i servizi
pericolosi (telnet, ftp,webmin...)...il mio
utente non parte ancora...mi accorgo che
l'hacker ha modificato i permessi di /bin/bash
in 700..li rimetto 766...
Nella mia mandrake 8.2 mi pare tutto ok,
ma non ho esperienza necessaria per capire
cosa puo' aver fattoe e soprattutto come.
Punti a mio sfavore:
- avevo telnet server su
- stavo pubblicando il mio IP con un demone
per un dynamicIP che puntava al mio apache (su,
stavo sviluppando in php e mi serviva...)
- sono ingenuo....
A questo punto:
- che controlli posso fare per vedere di non
avere script maligni o simili?
- devo mettermiun firewall? non so neanche
bene da che parte cominciare...IPTABLES a manetta?
boh...
Per stare tranquillo riformatto tutto? non vorrei,
anzi voreri trarre da questo una grande lezione.
COsa strana: l'utente "ardo" estraneo non appariva
in UserDrake, ma l'ho cancellato con userdel....
A VOI...che ne dite?
::dani::

Per stare tranquillo riformatto tutto?
E' satto.
Non puoi essere sicuro di nulla su quel pc.
Salva le configurazioni e i dati importanti e vai di format.
HTH HAND
-- 
manuel 'fmf' ferrero
"Questa signature e' oscurata per protesta."
        -- io

 bene da che parte cominciare...IPTABLES a manetta?
Cerca gShield... non te ne pentirai.
E' uno script per la configurazione di IPTABLES...
-- 
| (o_  | Piersandro Guerrera  -  Eden.Games Group    |            _o)  |
| //\  |  URL: 
http://www.edengames.net
              | (o_  (o_   /\\  |
| V_/_ |  Togli NOSPAM per rispondere in e-mail.     | (/)_ (/)_ _\_V  |

 bene da che parte cominciare...IPTABLES a manetta?
Quasi tutti i servizi possono essere messi in ascolto solo su certe 
interfacce o IP (quelli stand-alone dalla loro config. , gli altri dal 
loro file in /etc/xinetd.d/).
Cosi` chi arriva da fuori riceve solo dei connection refused.
Il fw x una macchina singola non e` necessario se non sei paranoico e 
cmq sarebbe meglio un'impostazione sicura dei vari daemons, rispetto a 
un fw di dubbia sicurezza (visto che non sai da dove iniziare!) e 
daemons allo stato selvaggio.
-- 
    Pardo
 
http://pardo.cjb.net
 
    ( BACKUP: 
http://pardo.tsx.org
 )

 anzi voreri trarre da questo una grande lezione.
Direi che e' la soluzione migliore, non puoi sapere che ti ha compromesso..
magari se puoi tieniti la distro in una partizione a parte e "studiatela" 
con calma quando sei offline.
C'era un post esaurientissimo su it.comp.sicurezza.varie di Roberto Poggi 
(rpoggi come nick) in risposta a una domanda simile qlc settimana fa. Cerca 
su google groups.
-- 
il Vide - ICQ# 5301833
IAMM - it.arti.musica.metal 
http://www.heavy-metal.it

 in 700..li rimetto 766...
IMHO dovrebbero stare 755.
-- 
Ikitt perplesso

 anzi voreri trarre da questo una grande lezione.
Per stare tranquillo riformattare e' l'unica; se vuoi, puoi fare una
nuova installazione su un nuovo HD, monti la vecchia distribuzione
(quella compromessa) da qualche parte e te la studi con calma, a
cominciare dai log. Fondamentale l'uso di programmi tipo tripwire o
aide.
Ciao
  Andrea
-- 
Sognatore e' un uomo coi piedi saldamente ancorati sulle nuvole

 anzi voreri trarre da questo una grande lezione.
Salva i dati, e reinstalla.
Nella nuova installazione, 
1) binding dei serivizi su localhost, se possibile.
2) Un minimo di iptables.
3) Magari tripwire.
In ogni caso, leggi *almeno* il Security-HOWTO.
-- 
GHERdO, happy GNU/linux user.
 
http://www.cyberspace.org/~gherdo/