Newsgroup: it.comp.os.linux.sys
Titolo: attacco cracker di un lamer, beccato, che si fa?

 fatto non succede nulla

 kernel is buggy"
Beh, vedi un po' se hai un kernel vulnerabile o meno.. remote root che 
io sappia, recenti, non ve ne sono - tuttavia sia il ramo 2.4.x che 
2.6.x hanno avuto ultimamente problemi di sicurezza (principalmente 
privilege escalation in locale, DOS e remote DOS)
Non sono sicuro sulla legislazione italiana in fatto di accessi 
"fraudolenti" in campo informatico (se e' questo che intendi con "che 
fare?")- ma probabilmente gli estremi ci sono, in questo caso. A quanto 
pare non ha fatto danni in giro pero' (leggendo la sua history), quindi 
non penso che tu possa chiedere un risarcimento in quel senso.
Penso che l'autorita' preposta per l'acquisizione di questo tipo di 
denunce sia la polizia postale.
Ciao,
Andreas

 fare?")- ma probabilmente gli estremi ci sono, in questo caso.
Art. 615 ter del Codice Penale: accesso abusivo ad un sistema 
informatico o telematico.
«Chiunque abusivamente si introduce in un sistema informatico o 
telematico protetto da misure di sicurezza ovvero vi si mantiene contro 
la volontà espressa o tacita di chi ha il diritto di escluderlo, è 
punito con la reclusione fino a tre anni.
La pena è della reclusione da uno a cinque anni:
1) se il fatto è commesso da un pubblico ufficiale o da un incaricato di 
un pubblico servizio, con abuso dei poteri, o con violazione dei doveri 
inerenti alla funzione o al servizio, o da chi esercita anche 
abusivamente la professione di investigatore privato, o con abuso della 
qualità di operatore del sistema;
2) se il colpevole per ocmmettere il fatto usa violenza sulle cose o 
alle persone, ovvero se è palesemente armato;
3) se dal fatto deriva la distruzione o il danneggiamento del sistema o 
l'interruzione totale o parziale del suo funzionamento, ovvero la 
distruzione o il danneggiamento dei dati, delle informazioni o dei 
programmi in esso contenuti.
Qualora i fatti di cui di cui ai commi primo e secondo riagurdino 
sistemi informatici o telematici di interesse militare o relativi 
all'ordine pubblico o alla sicurezza pubblica o alla sanità o alla 
protezione civile o comunque di interesse pubblico, la pena è, 
rispettivamente, della reclusione da uno a cinque anni e da tre a otto anni.
Nel caso previsto dal primo comma il delitto è punibile a querela della 
persone offesa; negli altri casi si procede d'ufficio.»
Ciao,
decibel

 fare?")- ma probabilmente gli estremi ci sono, in questo caso.
La legislazione c'è, è anche penale, il problema è: l'utente non ha
forzato nulla, a quanto pare, ha solo trovato una shell disponibile. Ora
credo che un buon avvocato non avrebbe problemi a smontarti questo come
"intrusione fraudolenta", dato che si è mosso nei limiti dei permessi
concessi sul sistema.
Potrebbe sempre obiettarti che l'utente aveva avuto autorizzazione a
farlo e infatti ha potuto accedere senza dover forzare nulla, e ora che
tu lo voglia incastrare, o simili.
Diverso discorso se ha usato dei rootkit o simili per forzare un accesso
(sia pure debolmente) non consentito.
-- 
Massimo Bacilieri AKA Crononauta 
ICQ:4005815

 è entrato come utente oracle, e credo che abbia sfruttato una falla di ssh.
più che una falla è un errore di configurazione. C'è un programma di
cracking di password ssh che gira ormai da un bel po e cerca utenti
significativi ma banali come oracle, mysql, www, john, jow e così via.
Usa ssh con i certificati e dormi tranquillo.

 farlo e infatti ha potuto accedere senza dover forzare nulla, e ora che
Cosa di cui potra' senza dubbio produrre prove al giudice, no? =)

Qualche leggerezza è stata commessa, attualmente la macchina ha accesso ssh
chiuso, quindi è attualmente al sicuro.
Tuttavia l'utente oracle aveva una password, e no, non era oracle...
per quanto riguarda la denuncia, siamo intenzionati a sporgerla, anche se
temiamo che non avrà alcun effetto.
grazie per le risposte, ssh accetterà un solo utente d'ora in poi...
buona giornata.
Sat_



Scusa ,
ma una password "null" è un affidabile sistema di sicurezza ?
Se tu lasci la porta di casa aperta ....
sei tu che hai messo ssh aperto al mondo , quindi sei tu responsabile ...
Sbaglio o la legge non tollera l'ignoranza ?

 
Quindi se tu lasci la porta di casa aperta posso entrare?
E magari farci pure i comodi miei?
(dopotutto la porta era aperta..)
Magari se mi lasci anche il bancomat con un post-it del pin mi fai un favore
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 E magari farci pure i comodi miei?
No.
Considera che "furto" e "furto con scasso" sono due reati diversi con
pene diverse.
Se uno lascia la porta aperta, uno può introdursi in casa. Naturalmente
non rubare, che è comunque reato.
Se la porta è chiusa e la forza, già quello è reato.
Anche con l'auto, per esempio, se la lasci aperta con le chiavi dentro e
te la rubano, ricordo di aver letto di sentenze in cui l'Assicurazione
aveva vinto la causa per il risarcimento (pur con la clausola per i
furti) poiché non si erano messe in atto le più elementari norme di
prevenzione.
Se il sistema è stato forzato (es. password violata, attacco con rootkit
o sfruttando altri bug del sistema) la vittoria in tribunale è certa.
In presenza di un evidente errore di configurazione, non canterei
vittoria così facilmente.


 è entrato come utente oracle, e credo che abbia sfruttato una falla di ssh.
Credi su quali basi?
A me sembra molto più probabile che sia entrato con una pass banale.
La domanda è: perchè lasciare la possibilità di loggarsi via ssh 
all'utente oracle?

 
Magari c'è la password di default.. Comunque tempo fa (quando uscì la 
sentenza sull'equiparazione fra domicilio informatico e domicilio tout 
court) lessi che anche se metto banalmente un login, indipendentemente da 
quanto è "forte" la password viene considerata una violazione del sistema.



e sopratutto, perchè lasciare le password invece di usare le comodissime 
chiavi?
Un minicd con putty e sei a posto.


 quanto è "forte" la password viene considerata una violazione del sistema.
Dovrebbe essere come dice roberto, AFAIK [1]: se e' evidente l'intenzione
di tenerti fuori da parte di chi ha il diritto di farlo (e il prompt d'un
sshd mi sembra palese, in mancanza di altre indicazioni) allora l'accesso
si configura come abusivo indipendentemente dalla bonta' ed efficacia dei
presidi predisposti per impedirlo. Poi ogni caso e' da valutare a se.
Fabio
[1] anche se quel poco di giurisprudenza che m'e' nota e' di orientamento 
    diverso (quella vecchia storia del gr3, per intenderci). 

avete perfettamente ragione...
il server ora prevede solo un'autenticazione...


Ho provato su 
whatsmyip.net
 a vedere di chi era quell'ip ed ho ottenuto:
Network Information about 
62.231.102.12
: 
Host 62.231.102.12 
1055352332 
Warning: fsockopen(): php_network_getaddresses: getaddrinfo failed: No
address associated with hostname in
/var/www/sites/123/
smokingmedia.com/whatsmyip/doc/classes/netgeo.php
 on
line 34
Warning: fsockopen(): unable to connect to 
netgeo.caida.org:80
 in
/var/www/sites/123/
smokingmedia.com/whatsmyip/doc/classes/netgeo.php
 on
line 34
Forse usa un proxy
 
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

l'attacco arrivava dalla romania.
il whois diceva così:
bash-2.05b$ whois 62.231.102.12
% This is the RIPE Whois query server #2.
% The objects are in RPSL format.
%
% Rights restricted by copyright.
% See 
http://www.ripe.net/db/copyright.html
inetnum:      62.231.102.0 - 62.231.102.15
netname:      RO-BR-OLTCRAM-20040729
descr:        SC Oltcram Net
country:      RO
admin-c:      LCD6-RIPE
tech-c:       LCD6-RIPE
tech-c:       RDS-RIPE
status:       ASSIGNED PA
remarks:      +-----------------------------------------------------------+
remarks:      | ABUSE CONTACT: 
ab...@rdsnet.ro
 IN CASE OF HACK ATTACKS,   |
remarks:      | ILLEGAL ACTIVITY, VIOLATION, SCANS, PROBES, SPAM, ETC.    |
remarks:      +-----------------------------------------------------------+
notify:       
as-a...@rdsnet.ro
mnt-by:       AS8708-MNT
mnt-by:       AS8708-MNT
changed:      
andrei...@rdsnet.ro
 20040729
source:       RIPE
route:        
62.231.64.0/18
descr:        RDSNET
origin:       AS8708
mnt-by:       AS8708-MNT
changed:      
t...@rdsnet.ro
 20011123
source:       RIPE
role:         Romania Data Systems NOC
address:      71-75 Dr. Staicovici
address:      Bucharest / ROMANIA
phone:        +40 21 30 10 888
fax-no:       +40 21 30 10 892
e-mail:       
contac...@rdsnet.ro
admin-c:      AS1385-RIPE
tech-c:       BCD-RIPE
tech-c:       MIHV1-RIPE
tech-c:       GEPU1-RIPE
nic-hdl:      RDS-RIPE
remarks:      ---------------------------------
remarks:      Abuse reports: 
ab...@rdsnet.ro
remarks:      NOC Phone 24x7: +40 21 30 10 888
remarks:      NOC E-mail: 
contac...@rdsnet.ro
remarks:      ---------------------------------
notify:       
notif...@rdsnet.ro
mnt-by:       AS8708-MNT
changed:      
ge...@rdsnet.ro
 20041112
source:       RIPE
person:       Leopa Catalin Dan
address:      Str. Progresului Bl.E2 Sc.6 Ap.103
address:      Braila
phone:        
+4-0723-352503
fax-no:       
+4-0723-352503
e-mail:       
oltcr...@braila.rdsnet.ro
nic-hdl:      LCD6-RIPE
notify:       
as-a...@rdsnet.ro
mnt-by:       AS8708-MNT
mnt-by:       AS8708-MNT
changed:      
andrei...@rdsnet.ro
 20040729
source:       RIPE
Sat_


 l'attacco arrivava dalla romania.
Ya.
Quell'host (windows, probabilmente NT) ha una strana porta aperta, la
7778, che risponde con strane stringhe, tipo, in hex
0x65, 0x65, 0x9a, 0x9a, 0x9a, 0x97, 0x20, 0x65, 
0x74, 0x76, 0xbb, 0x9a, 0x9a
0x65, 0x65, 0x9a, 0x9a, 0x9a, 0x97, 0xd5, 0x9a, 
0x10, 0x76, 0xbb, 0x9a, 0x9a
e così via, variabilmente.
Su un po' di tentativi, sembrano essere apparentemente fisse la sequenza
iniziale 
(x65, 0x65, 0x9a, 0x9a, 0x9a, 0x97)
e quella finale
(0x76, 0xbb, 0x9a, 0x9a)
Qualcuno ha qualche idea?

> Qualcuno ha qualche idea?
magari ha usato una macchina infetta da qualche porcheria.
cmq l'ho pinzato proprio mentre stava installando un rootkit.
per lo meno mi sono tolto il gusto di insultarlo via write.
e poi l'ho ucciso.
lo so, doveva essere presa diversamente la questione sul server...


 presidi predisposti per impedirlo. Poi ogni caso e' da valutare a se.
Attenzione però perché paradossalmente in questo modo definiresti
"abusivo" ogni accesso a un server ftp "pubblico", visto che per
l'accesso ti richiede comunque il login con user "anonymous".
Quello che voglio dire è che ho frequentato "trasversalmente" per un po'
l'ambiente della giurisprudenza (sysadmin in uno studio legale) e ho
visto fin troppe volte che il buonsenso e la logica sono una cosa, ma le
leggi e le decisioni dei giudici un'altra.
Dire "vinci la causa certamente", in un caso come questo, mi sembra
quantomeno richiedere un richiamo alla prudenza.


 sei tu che hai messo ssh aperto al mondo , quindi sei tu responsabile ...
appena entra e da` un comando e` probabile finisca se non altro sotto
il 635

 su un server configurato uguale.
e per caso cercava di installare un rootkit...
capisco tutto, ma questo sotto un'indagine se le prenderebbe forte.

 e per caso cercava di installare un rootkit...
...ecco, questo diciamo che complicherebbe decisamente il lavoro al suo
avvocato...!!!


 avvocato...!!!
sě, ha fatto una cartella mkdir ' ' e poi pensava che non si sarebbe mai piů
trovata.
:)


 Grazie Mille alle eventuali risposte
Vai in Questura, sporgi denuncia, fornisci loro i log, la Polizia Postale
seguira' le indagini del caso e molto probabilmente risaliranno all'autore.

 quantomeno richiedere un richiamo alla prudenza.
E chi ha mai detto una cosa del genere? Notare la frase "Poi ogni 
caso e' da valutare a se'". Se pensi che gli aveva anche lasciato
un avviso su problemi del kernel poi... chissa' se e' considerata
un'attenuante :-)
_Io_ non farei una causa in una situazione come questa, non fosse
che per evitare che possano esser contestate eventuali negligenze
all'azienda ed evitare altresi' una figuraccia per il reparto IT.
Penso. Ma e' difficile fare valutazioni con cosi' pochi elementi.
Fabio

 prevenzione.
il che non toglie a chi e' salito sulla tua auto e se l'e' portata via,
il reato di furto.

 tu lo voglia incastrare, o simili.
piu' che un bravo avvocato, perche' passi questa ci vuole un PM 
ignorante forte.
-- 
Volere e' potere.
www.diarizing.com

 ignorante forte.
Il fatto è che ci sono anche quelli.
