Newsgroup: it.comp.os.linux.sys
Titolo: AIUTO mi hanno zombizzato la linux box?

Ciao,
Vorrei farvi alcne domande riguardo una strana situazione che mi sta
facendo preoccupare.....
Ieri per caso guardando con iptraf il mio traffico ip ho notato una
strana attivita' ICMP
vi posto il log:
 ICMP fragment (476 bytes) from 62.98.124.133 to 193.190.253.90 on
ppp0    
 ICMP echo reply (588 bytes) from 62.98.124.133 to 193.190.253.90 on
ppp0  
 ICMP fragment (476 bytes) from 62.98.124.133 to 209.61.189.47 on
ppp0     
 ICMP echo reply (588 bytes) from 62.98.124.133 to 209.61.189.47 on
ppp0   
 ICMP fragment (476 bytes) from 62.98.124.133 to 193.190.253.90 on
ppp0    
 ICMP echo reply (588 bytes) from 62.98.124.133 to 193.190.253.90 on
ppp0  
 
62.98.124.133 sono io .....gli altri ip no lo so
....                                                                     
Ora ho cercato la causa e sembra essere il programma lpsched che in
qualche modo fa coppia con
questo sotto (l' eseguibile che viene laciato in rc.local):
-rwxr-xr-x   1 509      users       89828 Feb 26 21:26 t0rntd 
 
Guardando netstat ho trovato inoltre che con o senza questo processo in
esecuzione si ha una certa differenza nelle porte raw.			
Con il processo:
udp        0      0 Linux0.wind.:netbios-ns
*:*                                 
udp        0      0 Linux0.wind:netbios-dgm
*:*                                 
raw        0      0 *:6                    
*:*                                 
raw        0      0 *:1                    
*:*                                 
raw        0      0 *:11                   
*:*                                 
raw     1088      0 *:1                    
*:*                                 
raw        0      0 *:1                    
*:*                                 
Active UNIX domain sockets (including
servers)                                  
Proto RefCnt Flags       Type       State         I-Node
Path                   
unix  1      [ ]         STREAM     CONNECTED     35    
/dev/log               
unix  1      [ ]         STREAM     CONNECTED     43    
/dev/log               
unix  1      [ ]         STREAM     CONNECTED     59     /dev/log    
 
Senza il processo:
udp        0      0 Linux0.wind.:netbios-ns
*:*                                 
udp        0      0 Linux0.wind:netbios-dgm
*:*                                 
raw        0      0 *:6                    
*:*                                 
raw        0      0 *:1                    
*:*                                 
raw        0      0 *:11                   
*:*                                 
Active UNIX domain sockets (including
servers)                                  
Proto RefCnt Flags       Type       State         I-Node
Path                   
unix  1      [ ]         STREAM     CONNECTED     35    
/dev/log               
unix  1      [ ]         STREAM     CONNECTED     43    
/dev/log               
unix  1      [ ]         STREAM     CONNECTED     59    
/dev/log               
 
Eliminando questo processo si eliminano tutti i pacchetti icmp che
vengono inviati inoltre il lanciatore del processo e' nel file rc.local
e non mi pare che qualcuno ce lo abbia messso che io sappia.
Ora pensate che qualcuno stia utilizzando con malizia il sistema?
sapete cosa puo' essere quasto programma?
Ringraziando 
Maria Giulia Milano

 
sě, ti hanno zombizzato la linuxbox, t0rntd fa parte di un famoso rootkit.
Reinstalla tutto (se non sai dove mettere le mani) e stai piů attenta.
Se ci dici i servizi che hai abilitato di solito magari vediamo di darti 
1mano per rendere il tuo sistema piů sicuro. 
Intanto inizia a tirare su un bel firewall.
Ciao

 
dimenticavo.... cancella /usr/src/.puat, /usr/sbin/t0rntd, 
/dev/.lib/star.sh e un file tipo zap (il nome č 1po' diverso) in /var/log.
I files e gli script compromessi sono moltissimi, la prima cosa da fare cmq 
č disabilitare all'istante bind e ripulire /etc/passwd e /etc/shadow.
Tieni comunque una copia dei log di sistema e dai occhiata che magari 
riesci a sgamare i furbetti.