Newsgroup: it.comp.os.linux.sys
Titolo: Che intenzioni aveva il "signore"...

 Ciao,
      questa mattina mi è arrivata una e-mail strana dal mio server Linux:
 "localhost
     ----- The following addresses had permanent fatal errors -----
 
1i0...@china.com
     ----- Transcript of session follows -----
  ... while talking to 
mail.cs.interbusiness.it
:
  >>> MAIL From:<ro...@xxx.xxx.xx> SIZE=7222
  <<< 501 <ro...@xxx.xxx.xx>... Sender domain must exist
  501 1i0...@china.com... Data format error"
  A questo punto sono andato ad indagare e ho trovato questi processi:
  ./hack.sh
  ./bind 217.58.75.41
  ./bind 113.25.194.91
  ./bind....etc etc
  ./pscan 85.29
  i file sono stati posizionati nella directory /dev/.lib/lib/scan dove
inoltre ho trovato:
  rwxr-xr-x   1 root     root          122 Feb 26 01:46 1i0n.sh
  -rwxr-xr-x   1 root     root        19033 Feb 26 01:43 bind
  -rw-r--r--   1 root     root         2799 Mar 20 07:44 bindname.log
  -rwxr-xr-x   1 root     root           40 Feb 21 04:21 bindx.sh
  -rwxr-xr-x   1 root     root           85 Feb 21 04:22 hack.sh
  -rwxr-xr-x   1 root     root        15715 Feb 18 20:35 pscan
  -rwxr-xr-x   1 root     root        12331 Jan 12 05:34 randb
  -rwxr-xr-x   1 root     root           70 Feb 21 04:22 scan.sh
  -rwxr-xr-x   1 root     root          114 Feb 21 04:22 star.sh
  A questo punto mi chiedo:
  -quali erano le intenzioni del tipo?
  -come ha fatto visto che non uso ne ftp, ne telnet ma solo sendmail ssh e
bind e fetchmail
  Grazie. Giacomo
-- 
Posted from [151.99.250.40] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG

La tua macchina è compromessa....

Potresti per cortesia indicare la versione del kernel e la distribuzione che
usi?
Grazie.
Ciao.

 bind e fetchmail
Non sarà mica il famoso "buco" di bind?
Comunque se non hai tripwire mi sa che sei messo maluccio...
Ciao.
 
-- 
***  Per E-mail rimuovi ModE dall'indirizzo  ***
  *** Linux user # 198661 --- ICQ 33500725 ***
*** homepage 
http://web.tiscalinet.it/kailed
 ***
            *** Powered by Linux ***

allora....
    sembra proprio sia stato problema del bind! Ho seguito tutta la
procedura dei vari script e sembra che non sia riuscito a sostituire i vari
file di sistema ( login, in.telnetd, ifconfig, ps, du, ls, netstat,
in.fingerd, find, top ) e neanche ad inviare il file delle passwd in quanto
ho un dominio fittizio che non e' stato accettato. Ho "upgradato" bind (da
8.2.1 a 9.1.0). Mi chiedevo se l'indirizzo e-mail dell'hacker e' valido ed
eventualmente cosa potrei fare. Grazie cmq a tutti.
Ho una RedHat 6.1 (kernel 2.2.12-20)
P.S. dove trovo tripwire?


   
1i0...@china.com
Ti sono entrati di brutto, compresa l'installazione di un rootkit.
Probabilmente sono passati tramite bind, anche se non dici che versione
hai.
Non ti resta che spianare tutto e reinstallare da capo, mettendo gli
opportuni patch per bind, il tutto staccato dalla rete.
Ciao
LG
-- 
*********************************************************************
Leandro Gelasi
V year Computer Science Engineering student at Siena University
gela...@lucy.dii.unisi.it
Gilles Villeneuve will live forever
*********************************************************************

 Ho una RedHat 6.1 (kernel 2.2.12-20)
E poi ti lamenti se ti entrano a piedi pari?!
Cosa aspetti ad aggiornare il kernel? Fino alla 2.2.15/16 ci sono grossi
problemi di sicurezza. Metti al piu' presto la 2.2.18



Per la prima dovresti analizzare gli script che ti ha messo dentro..
Per la seconda ricordati che c'e' stato un allarme in rete su una versione
di Bind che aveva un baco conoscuto....
Saluti GazziNet
:-)

 P.S. dove trovo tripwire?
www.tripwire.com
-- 
addio, e grazie per tutto il pesce