Newsgroup: it.comp.os.linux.sys
Titolo: Trojan: cavolo mi hanno bucato il server

Ciao a tutti,
con malincuore devo ammettere che hanno "bucato" il mio serverino di 
casa :'(
Ultimamente ho riscontrato un improvviso aumento della banda uscente 
utilizzata e una miriade di connessioni uscenti dirette a mezzo mondo su 
porte ircd.
Ho indagato un po' e ho trovato che questi simpaticoni in qualche modo 
sono riusciti a installare un trojan sulla /tmp (il nome del prog cambia 
sempre e nn è sinificativo) come utente www-data (server apache) ed 
ovviamente eseguirlo.
Sono riuscita a stoppare tutte le connessioni, killare tutti questi 
programmi in esecuzione, pulire la tmp, ma il problema ora sta nel 
trovare la falla dalla quale sono entrati.
Ora ho provato ad eliminare alcuni programmi di statistiche scritti in 
perl dalla cgi-bin, sperando fossero quelli la causa.
Vi do un po' di informazioni sul server.
Debian stable (costantemente aggiornata)
Linux version 2.6.8-2-686-smp
apache2 + php + mysql
mrtg
awstat
mailgraph
postfix
amavis
clamav + spamassassin
il Server è su DMZ protetto da firewall che abilita in entrata solo 
connessioni su porte 80,25,110,10000 2 20000 (avete capito insomma che 
servizi)
Volevo chiedervi se qualcuno sa prima di tutto dirmi cosa posso fare, o 
dove posso ricercare informazioni per bloccare la falla,
oppure pensavo di bloccare la possibilità di eseguire programmi dalla 
tmp, che dite?
Grazie a tutti,
bacioni
	Vale


http://csvtosql.sf.net
Per fare la maggior parte dei lavori occorrono tre mani. -- Legge di Murphy


Mi pare di ricordare che awstat avesse dei problemi (mi pare che il 
nostro Davide Bianchi ci si sia scottato tempo fa).
Controlla anche le applicazioni PHP che usi, di solito cose come 
PHPnuke, phpBB e simili sono piuttosto vulnerabili.
-- 
Mario "Reliant" Pascucci
"From" field altered. Please use ilpettegolo(a)
yahoo.it
 for private mail.
http://ilpettegolo.altervista.org/

 
	wow... consigli alla XP. Se piallo tutto non risolvo il problema, tra 
due mesi mi ritrovo con lo stessa falla aperta.
In questa macchina c'è attivo il mio serverino di posta (postfix), 
qualche  sito web con Mambo cms e snmpd.
Ho sbaliato a non abilitare le iptables, pensando che il firewall 
bastasse, ma ho il presentimento che non sia quello il problema e che 
l'attacco sia avvenuto dalla porta 80 sfruttando la vulnerabilità di 
qualche programma.
grazie comunque, saluti a tutti
	Vale

 qualche  sito web con Mambo cms e snmpd.
                        ^^^^^
Ecco il problema, presumibilmente.
http://www.f-secure.com/v-descs/mare_d.shtml
Rimane ovviamente che la macchina va piallata, o quantomeno pesantemente
analizzata per assicurarsi oltre ogni ragionevole dubbio che non siano
andati oltre le credenziali dell'utente di apache...


http://csvtosql.sf.net
Fare il passo piu' lungo della gamba equivale a dire che il coseno di un
angolo puo' essere maggiore di 1. -- Andrea `Zuse' Balestrero

 andati oltre le credenziali dell'utente di apache...
E magari diciamole pure che sul nuovo server č bene dare la /tmp come
partizione separata, montarla almeno "noexec,nosuid,nodev,noatime", e usare
questo fantomatico iptables per bloccare le connessioni di apache verso
l'esterno...
Max

     Vale
Non è un consiglio alla icspì, è che se non sai di preciso cosa ti hanno 
fatto (e non è scoprendo quale vulnerabilità hai che lo puoi sapere) la tua 
macchina sarà *sempre* insicura
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
L'uomo e' nato per soffrire, e ci riesce benissimo.
		-- Roberto Gervaso

 
non ho definito alcuna catena di filtraggio su iptables. Ora mi informo 
per blindare meglio la macchina.
grazie per l'aiuto


Dimenticavo... ovviamente ho conservato il maligno. c'ho fatto un bel 
tar e rinchiuso in cantina :)
Clamav non me l'ha identificato come virus posso fare qualcosa per 
scoprire di che natura è ?
ciao

 ciao
L'hai fatto girare rkhunter?



	Grazie mille... mi sa che è prorio quello il problema.
davvero gentile.
Ciao

 L'hai fatto girare rkhunter?
no, nn conosco

 
Verifica i log di apache.
Secondo me hanno sfruttato una vulnerabilità di qualche cgi se dici che 
tieni aggiornato costantemente il sistema.

Valentina C ha scritto:

E` l'equivalente dell'antivirus per i rootkit.
http://www.rkhunter.org/


 per blindare meglio la macchina.
Anche questo non ti para dalle vulnerabilita' di uno specifico servizio
pubblicato all'esterno. Al limite (se gia' non l'ha fatto il tuo
firewall), evita che una volta exploitato un servizio possano poi
sfruttare un secondo servizio (magari una backdoor fatta partire
all'uopo) per proseguire l'escalation nel sistema. Il firewall serve
solo a limitare le possibilita' di exploit, ma non "cura" certo la
mancanza di attenzione verso le vulnerabilita' di servizi esposti,
vuoi per bug insite, vuoi per errori di programmazione, vuoi per
errori di configurazione.
bye G.L.

 clamav + spamassassin
-- 
Vedo gli amici ancora sulla strada, loro non hanno fretta,
rubano ancora al sonno l'allegria all'alba un po' di notte:
e poi la luce, luce che trasforma il mondo in un giocattolo.
Faremo gli occhiali cosě, Faremo gli occhiali cosě!

 tmp, che dite?
Le cose da fare sono:
Reinstallare il sistema.
Comandamento zero del sysadmin:
Una macchina bucata la si reinstalla.
Se si vuole, e si ha tempo, si reinstalla su disco nuovo e
poi con calma si fa analisi post mortem sul vecchio.
Mettere /tmp noexec, nosuid, nodev e' il primo passo, e non
solo per questo specifico problema.
Fare sanitizzazione dell'input in tutto cio' che e'
attivo e prende da web, visto che parli di php.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 qualche  sito web con Mambo cms e snmpd.
Che versione di mambo hai? E' successo anche a me, prova a dare 
un'occhiata a questo post 
http://forum.mamboserver.com/showthread.php?p=305253
Ciao, roby

 partizione separata, montarla almeno "noexec,nosuid,nodev,noatime", e usare
Se la monti noexec parecchi programmi possono dare rogne, anche se
effettivamente sarebbe da fare.
Comunque aggiungerei mod-security alla lista dei todo.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

Valentina C ha scritto:

Quale versione di awstats ?
A me hanno fatto lo stesso mesi fa usando awstats,
ho pulito e sistemato senza reinstallare e ora è OK.
-- 
       _
.-._.=\-.
(_)=='(_)______________/ helix \___


ho tre siti con mambo: uno aggiornato con la 5.2.3 uno con la 5.2.1a 
(che ho momentaneamente chiuso) e un'altro con la 5.2.3
Mi sa che la falla sta nel secondo.
Comunque ora provo a tappare i buchi, il problema resta un altro:
    come posso mettere in sicurezza apache e le cartelle web, in modo 
tale che anche se ci fosse una possibile falla non mi metta a 
repentaglio la sicurezza globale del sistema?
grazie tante a tutti per i consigli e suggerimenti
ciao

 servizi)
Se hai un firewall non è male bloccare anche tutte le connessioni in uscita
(tranne ovviamente per le porte che ti servono), in questo modo si riduce
la possibilità che un maleware possa 'chiamare casa' dopo l'installazione e
magari aggiornarsi all'ultima versione.
Se decidi di reinstallare la macchina, fai una passata con AIDE (è appena
uscita la versione 0.11) dell'installazione pulita e masterizza su cd il
risultato.
Ti aiuterà in fase di analisi dovesse ricapitare una cosa del genere.
Ciao
stefano

 
Non so che versione, l'ultima rilasciata con la debian stable. Comunque 
ho provveduto a disinstallarla. Probabilmente la causa è stata un 
exploit di mambo :(
ciao e grazie


http://csvtosql.sf.net
Non ho ben capito, ma... Frank Black lavora alla Matrox? -- Anonima, su
"Millenium"

 repentaglio la sicurezza globale del sistema?
metodi sicuri al 100% non ce ne sono.
Sopratuttto se usi dei kernel obsoleti e bacati.
Un buon inizio č, ad esempio, abilitare il safe mode su php.
Io ad esempio non fornisco supporto per i cgi quindi monto la partizione su
cui risiedono i siti in noexec (i cgi chi li usa, ormai ?).
Poi uso i vserver (linux-vserver.qualcosa)....
Poi mod-security... e altra bella robina.
Il tutto, OVVIAMENTE, non prescinde fal fatto che sul server ci deve girare
roba buona e programmi senza buchi. Questa č la base.
Se offri servizi di hosting, fatti degli script che verifichino se un
cliente ha installato fuffa tipo phpbb, mambo, phpmyadmin etccc....
E avvertilo quando deve aggiornare.
Max

 e cmq per sicurezza visto che ormai il server è bucato piallalo.
Beh, un minimo di analisi post mortem potrebbe essere una buona idea, al
fine di evitare il ripetersi di certi eventi.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 servizi)
Le DMZ esistono anche per evitare che i server posti in essa
possano aprire connessioni verso il mondo, ovvero, sul firewall:
iptables -A FORWARD -s $dmz_class -m state --state NEW,INVALID -j DROP
f/up it.comp.sicurezza.varie


 tar e rinchiuso in cantina :)
Potrei chiederti di inviarmi la bestiola?


 risultato.
Generalmente quali file fai controllare ad Aide (e specifichi in aide.conf)?
Ciao!
Decibel.

 ciao e grazie
Questa?
http://secunia.com/advisories/18935/
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Io credo che un artista non si debba mai prostituire, se non per denaro.
		-- Beppe Grillo

 cui risiedono i siti in noexec (i cgi chi li usa, ormai ?).
Io (anzi, "noi" nel senso di ditta) :-)
Tutto quello che riguarda siti Web viene fatto in Perl.

 Tutto quello che riguarda siti Web viene fatto in Perl.
Si ma suppongo usiate macchine dedicate.
Io, ad esempio, il perl lo faccio andare con mod_perl.
magari suexeato.
Poi una cosa è il codice che scrivi TU sulle tue macchine, una cosa è il
mambo che scarichi e installi alla cieca....
Max