Newsgroup: it.comp.os.linux.iniziare
Titolo: sono stato hackato,che fare?

ciao a tutti,sono entrato da poco nel mondo di linux (suse 7.0) e oggi mi
sono accorto nella mia home una dir sospetta "/.. ", entrandoci ho trovato
vari exploit, i relativi eseguibili e un eseguibile per una shell credo,
allora ho dato un' occhiata a /var/log/messages e in concomitanza con la
data di creazione dei file ho trovato alcune righe sospette che vi copio
(scusate la lunghezza del post) in caso voi sappiate aiutarmi dato che non
sempre ci capisco molto.
I log risalgono a fine giugno, i primi giorni in cui mi connettevo con linux
in cui avevo ancora tutte le porte aperte, poi il file termina il 1° luglio
e da allora quando accendo mi da un messaggio di errore "disabled syslog
syslogd"
C'entra qualcosa?
Che posso fare per mettere un po' a posto la situazione? Dovrei aver cercato
i file con il SUID settato e ho eliminato una dir "sospetta", poi che altro
posso fare?
Se avessi una backdoor istallata come mene potrei accorgere? ora ho fatto
nmap -p 1-65667 e di porte aperte ho solo la 6000 X11...
QUalsiasi consiglio e' ben accetto (per favore siate chiari , sono molto
agli inizi..)
Grazie 1000 anticipate per l' aiuto, ecco il log:
--
Gordon
Jun 24 19:37:07 linux in.telnetd[1065]: connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:37:29 linux login: FAILED LOGIN 1 FROM 
ppp-68-95.30-151.libero.it
FOR gord$
Jun 24 19:42:46 linux in.telnetd[1078]:connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:46:25 linux in.telnetd[1128]: connect from 151.30.95.68
(151.30.95.68)
Jun 24 19:46:34 linux login: FAILED LOGIN 1 FROM 
ppp-68-95.30-151.libero.it
FOR gord$
Jun 26 22:05:00 linux /USR/SBIN/CRON[1018]: (root) CMD ( test -x
/usr/sbin/texpire &&/usr/sbin/texpire)
Jun 28 21:59:43 linux in.telnetd[971]: connect from 151.30.76.135
(151.30.76.135)
Jun 28 22:05:00 linux /USR/SBIN/CRON[1302]: (root) CMD ( test -x
/usr/sbin/texpire && /usr/sbin/texpire)
Jun 28 22:39:34 linux in.telnetd[1433]: connect from 151.30.76.135
(151.30.76.135)
Jun 28 22:46:12 linux in.ftpd[3630]: connect from 151.30.76.135
(151.30.76.135)
giu 28 23:05:32 linux su: FAILED SU (to root) gordon on /dev/ttyp2
Jun 28 23:06:54 linux in.ftpd[4235]: connect from 151.30.76.135
(151.30.76.135)
giu 28 23:21:11 linux PAM-unix2[726]:session finished for user root, service
xdm
giu 28 23:22:01 linux PAM-unix2[4317]: session started for user root,
service xdm
Jun 30 19:23:12 linux sshd[410]: RSA key generation complete.
Jun 30 19:23:32 linux login: FAILED LOGIN 1 FROM /dev/tty1 FOR UNKNOWN, User
not known to theunderlying authentication module
Jun 30 19:29:30 linux useradd[933]: new user: name=nftp, uid=502, gid=100,
home=/home/nftp, shell=/bin/bash
Jun 30 19:29:39 linux su: (to nftp) root on /dev/tty1
Jun 30 19:34:02 linux su: (to nobody) root on none
Jul  1 15:12:59 linux sshd[416]: Server listening on 0.0.0.0 port 22.
Jul  1 15:13:07 linux /usr/sbin/cron[448]: (CRON) STARTUP (fork ok)
Jul  1 15:30:56 linux in.rlogind[984]: warning: can't get client address:
Connection reset by peer
Jul  1 15:30:56 linux in.rlogind[984]: connect from unknown (unknown)
Jul  1 15:30:56 linux rlogind[984]: Can't get peer name of remote host:
Transport endpoint is not connected
Jul  1 15:31:04 linux inetd[986]: getpwnam: nobody: No such user
Jul  1 15:31:10 linux popper[988]: warning: can't get client address:
Connection reset by peer
Jul  1 15:31:10 linux popper[988]: connect from unknown (unknown)
Jul 1 15:31:10 linux popper[988]: error: cannot execute /usr/sbin/popper: No
such f
Jul 1 15:31:12 linux in.ftpd[989]: connect from 151.25.41.140
(151.25.41.140)
Jul  1 15:31:12 linux ftpd[989]: getpeername (in.ftpd): Transport endpoint
is not connected
Jul  1 15:31:12 linux in.rshd[990]: warning: can't get client address:
Connection reser by pee
r
Jul  1 15:31:12 linux in.rshd[990]: connect from unknown (unknown)
Jul  1 15:31:12 linux rshd[990]: getpeername: Transport endpoint is not
connected
Jul  1 15:31:26 linux in.telnetd[993]: connect from 151.25.41.140
(151.25.41.140)
Jul  1 15:45:32 linux inetd[1075]: getpwnam: nobody: No such user
Jul  1 16:20:43 linux useradd[1263]: new user: name=nftp, uid=502, gid=100,
home=/ho$
Jul  1 16:30:49 linux userdel[1413]: delete user `nftp'
(qui al login grafico avevo trovato questo utente e lo avevo cancellato
insospettito...)
Jul 1 17:18:33 linux inetd[880]: execv /usr/sbin/swat: No such file or
directory
Jul 1 17:18:33 linux in.ftpd[881]: connect from 62.122.34.54 (62.122.34.54)
Jul 1
17:18:34 linux popper[882]: connect from 62.122.34.54 (62.122.34.54)
Jul 1 17:18:34 linux popper[882]: error: cannot execute /usr/sbin/popper: No
such f$
Jul 1 17:18:34 linux in.rshd[883]: connect from 62.122.34.54 (62.122.34.54)
Jul 1 17:18:34 linux rshd[883]: Connection from 62.122.34.54 on illegal port
Jul 1 17:18:34 linux in.rlogind[884]: connect from 62.122.34.54
(62.122.34.54)
Jul 1 17:18:34 linux inetd[885]: getpwnam: nobody: No such user
Jul 1 17:18:34 linux in.telnetd[886]: connect from 62.122.34.54
(62.122.34.54)
Jul 1 17:18:34 linux rlogind[884]: Connection from 62.122.34.54 on illegal
port
Jul 1 17:18:34 linux rlogind[884]: PAM pam_end: NULL pam handle passed
Jul  1 17:18:34 linux sshd[887]: Did not receive ident string from
62.122.34.54.
Jul 1 17:18:34 linux rlogind[884]: PAM pam_end: NULL pam handle passed
Jul 1 17:18:34 linux sshd[887]:Did not receive ident string from
62.122.34.54.
Jul  1 17:18:34 linux telnetd[886]: ttloop: read: Broken pipe

 Che posso fare per mettere un po' a posto la situazione?
L'unica cosa logica da fare e' *spianare tutto* e reinstallare da
capo, possibilmente dai sorgenti. In caso contrario non sarai mai
sicuro di aver eliminato tutti i rootkit installati...
Davide

  Jul  1 17:18:34 linux telnetd[886]: ttloop: read: Broken pipe
Da un'occhiata veloce sembra che siano entrati, formatta & reinstalla,
e la prossima volta, disattiva subito tutti i servizi inutili ed usa
tripwire
Ciao, Andrea
-- 
Andrea Carosi, just another Debian user
In the land of the dark the Ship of the
Sun is driven by the Grateful Dead.
           -- Egyptian Book of the Dead

 tripwire
cos'e' tripwire?
ps.grazie per le risposte!
Gordon

 ha scritto nel messaggio
9jhb9t$nvhnq$1...@ID-18487.news.dfncis.de...

innanzitutto grazie della risposta...
tu chiedo un altra cosa, ipotizzando di non avere root kit (come li posso
trovare?) e necessario formattare cmq?
anche perche' mi sono entrati in una delle prime sere in cui avevo istallato
linux, con tutte le porte e i servizi aperti, ora di porte aperte ho solo la
6000 (x11), telnet e ftp li ho disabilitati.. e non credo di avere backdoor
istallate perche' se mi scanno ho appunto solo quella porta aperta...
grazie :)
Gordon

 tripwire
mi diresti due parloe su tripware? cos'e' e a cosa serve?
grazie :)
Gordon

 trovare?) e necessario formattare cmq?
La formattazione e' l'unico sistema sicuro al 100%, di rootkit ne 
esistono parecchi, alcuni sostituiscono parti del sistema (login,
mgetty etc.), altri si mettono "in parallelo" ad un servizio valido
e funzionante ed aspettano.
Davide

  mi diresti due parloe su tripware? cos'e' e a cosa serve?
[...]
Tripwire is a tool that aids system administrators and users in
monitoring a designated set of files for any changes.  Used with
system files on a regular (e.g., daily) basis, Tripwire can notify
system administrators of corrupted or tampered files, so damage
control measures can be taken in a timely manner.
In pratica puoi sapere con certezza se un file e` stato "compromesso"
o meno
Ciao, Andrea
-- 
Andrea Carosi, just another Debian user
"Every man has his price.  Mine is $3.95."

sono accorto nella mia home una dir sospetta "/.. ", entrandoci ho trovato
-- CUT--
Domande da newbie ignorante :)
Hai una connessione permanente?
Ti spiego, quando mi connetto sono sempre in root e senza alcun
firewall. Forse sto sottovalutando il problema della sicurezza...
ps: sto molto tempo anche in IRC
Ciao,
Lorenzo.

istallate perche' se mi scanno ho appunto solo quella porta aperta...
Ma il volpone potrebbe anche averti sostituito il comando nmap con
una sua versione che volutamente non ti mostra lo stato della porta
che lui usa per connettersi al tuo PC.
-- 
Saluti,
    Mardy
http://www.interlingua.com

                    Linux User #221457

ps: sto molto tempo anche in IRC
Se navigassi come utente normale, le possibilità per un hacker di fare
danni sarebbero molto ridotte: infatti non potrebbe modificare i file di
configurazione del sistema, ma "soltanto" distruggerti la /home
dell'utente in uso.


 che lui usa per connettersi al tuo PC.
cavoli vero :)
ehhehe mi sa che e' meglio se formatto :PPP grazie per le risp!
^__^
Gordon

 Ciao, Andrea
capito!
grazie 1000 anche a te per la risposta :)
GORDON

 firewall. Forse sto sottovalutando il problema della sicurezza...
meglio non connetterswi da root mi dicono dalla regia..
comunque gli esperti qui non mancano x aiutarti meglio :)
ciao ciao!
Gordon

danni sarebbero molto ridotte: infatti non potrebbe modificare i file di
[...]
L'hacker NON fa danni.
-- 
Linux User ??
Ci provo !!

non mandare piu' niente sui siti pirata, basta questo :-)
ehe :)

 no, dial up , ip dinamico
Sei stato hackato pur avendo un ip dinamico????
Io francamente non capisco visto che l'hanno fatto in giorni diversi
(come si vede dal tuo log) e sicuramente il tuo ip sara' cambiato!
dav

  ps: sto molto tempo anche in IRC
Sei fortunato


On Mon, 23 Jul 2001 15:54:00 +0200, 
Gordon19...@hotmail.com
 wrote:
[cut]
Jun 24 19:37:29 linux login: FAILED LOGIN 1 FROM
ppp-68-95.30-151.libero.it
FOR gord$
..scusate, ma questo non è l'ID del chiamante?
Nel senso, 
ppp-68-95.30-151.libero.it
 è il computer che chiede la
connessione telnet, in linea di principio, contattando libero, dovrebbe
essere possibile risalire al propietario dell'account. Potresti
informarti da loro per sapere chi è il simpaticone...
-- 
MrJones aka Morpheus, Linux Registered User # 206246
BOFH excuse #29:
It works the way the Wang did, what's the problem

informarti da loro per sapere chi è il simpaticone...
Seeeeeeee non puoi sapere chi e' il proprietario di un account finche'
non te lo ritrovi davanti, in un aula di tribunale !!!
-- 
Bye bye Morpheo
E-MAIL: Sai gia' cosa togliere !!
GPG Key available on demand
GPG Key fingerprint = B208 B363 E5A7 47D1 71FB  2615 5331 1799 9EEB DB5E
<< POWERED BY LINUX >>
--

L'hacker NON fa danni.
Diciamo che non è sua intenzione farli, ma potrebbe farne
involontariamente (tipicamente aprendo la strada ad altre persone
malintenzionate).


(come si vede dal tuo log) e sicuramente il tuo ip sara' cambiato!
Probabile, ma chat e ICQ possono rimediare a tante cose. ;-)


informarti da loro per sapere chi è il simpaticone...
e loro ti direbbero che non lo sanno :-), esiste una legge che vieta
al provider di fare queste cose :-(
solo la magistratura puo' avere accesso a quei dati, potrebbe provare
con una denuncia formale, portando i vari log, ma non credo che gli
darebbero retta.
ricorda: la legge e' uguale per tutti, tranne che per le persone
oneste :-(


 (come si vede dal tuo log) e sicuramente il tuo ip sara' cambiato!
si infatti, questo mi ha fatto pensare che fosse qualcuno di cui ho il
contatto in icq..
ciao

 Probabile, ma chat e ICQ possono rimediare a tante cose. ;-)
ehehe che intendi? ^__^
Gordon


--
Gordon
"Se un Hacker infrange la legge e' la legge sbagliata" (Kevin Mitnick)

 non te lo ritrovi davanti, in un aula di tribunale !!!
cosa che non intedno fare :) magari e' un mio amico che mi ha fatto uno
scherzo...
poi come danno per ora mi ha solo fatto aumentare la mia attenzione sulla
sicurezza :)
Gordon

ehehe che intendi? ^__^
Che l'avere un IP dinamico non è poi un grande aiuto, visto che servizi
quali chat e ICQ permettono facilmente di conoscere gli IP altrui.
Il "rimediare" era ironico. :-)


 Il "rimediare" era ironico. :-)
capito :-)
ciao!!!!
Gordon

 non te lo ritrovi davanti, in un aula di tribunale !!!
Se il server in questione era connesso in rete e sono stati installati
dei root-kit, ci sono tutti i presupposti per portarcelo in tribunale,
non credi?
-- 
MrJones aka Morpheus, Linux Registered User # 206246
Una volta, mentre facevamo all'amore, si e' verificata una stranissima
illusione ottica: sembrava quasi che lei si fosse mossa.
		-- Woody Allen

 non credi?
In base a quale legge ? Violazione di domicilio ? Che io sappia non
esiste una sola legge nazionale (figuriamoci internazionale) che
sia applicabile nel caso di "cracking".
Davide

 sia applicabile nel caso di "cracking".
Adesso non ricordo gli articoli giusti, comunque è possibile denunciare
e far condannare una persona nel momento in cui violi sistemi
informatici. Ovvio, si deve dimostrare che erano state prese le debite
precauzioni...
-- 
MrJones aka Morpheus, Linux Registered User # 206246
- Pierino, dove vivevano gli antichi Galli?
- Negli antichi pollai!

sia applicabile nel caso di "cracking".
E' violenza sulle cose, con possibili aggravanti per i danni.
modifiche apportate al codice penale dalla legge 547 del 23 dicembre
1993
art. 615 ter, codice penale, sulle intrusioni in un sistema informatico.
art. 615 quinquies, codice penale:
"Chiunque diffonde, comunica o consegna un programma informatico da lui
stesso o da altri redatto, avente per scopo o per effetto il
danneggiamento di un sistema informatico o telematico, dei dati o dei
programmi in esso contenuti o ad esso pertinenti, ovvero l'interruzione
totale o parziale, o l'alterazione del suo funzionamento, e' punito con
la reclusione sino a due anni e con la multa sino a lire venti milioni"
art. 617, codice penale : (Installazione di apparecchiature atte ad
intercettare,impedire o interrompere comunicazioni informatiche o
telematiche).
 - Chiunque, fuori dai casi consentiti dalla legge, installa
apparecchiature atte ad intercettare, impedire o interrompere
comunicazioni relative ad un sistema informatico o telematico ovvero
intercorrenti tra più sistemi, è punito con la reclusione da uno a
quattro anni. 
L'installazione di un rootkit rientra agevolmente in entrambi i reati.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net