Newsgroup: it.comp.os.linux.sys
Titolo: ...solo una conferma

Ho un rootkit su un server (RH6.2), la macchina è compromessa ma non 
sembra dare nessun tipo di malfunzionamento (a parte che cerca di 
spedire la password quando si usa passwd) - la macchina è in housing, 
cosa faccio ?

 wrote in
news:h2uPg.112474$
zy5.1...@twister1.libero.it
: 

mmmh, fammi pensare.......
Formatta? :)
-- 
Dietro a un grande uomo c'e' sempre una grande donna.
Se invece c'e' un uomo ancora piu' grande, di colore e 
perdipiu' nudo, che si fa chiamare ubuntu,  si consiglia 
di non chinarsi a raccogliere margheritine :)

Gordon Freeman ha scritto:

prendi i backup e spiana..
Non puoi sapere dove si annidi il ragnetto
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Hanno chiesto a Jack Benny se voleva fare qualcosa per l'Orfanotrofio
degli Attori.  Cosi' lui ha sparato ai suoi genitori e ci e' andato.
		-- Bob Hope

 Non puoi sapere dove si annidi il ragnetto
Secondo me si annida nel backup :-) 

Davide D'Amico ha scritto:

'azz.... non è un ragno, è un borg
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
La sala da ballo era cosi' affollata che la donna, quando svenne,
dovette fare ancora tre lenti prima di cadere.
		-- Anonimo

Gordon Freeman ha spiegato il 18/09/2006 :

A parte formattare?
-- 
L'universita' americana di Berkeley
ha prodotto due importanti invezioni: l'LSD e Unix.
Credo non sia una coincidenza.
                                          Jeremy S. Anderson

Gordon Freeman ha scritto:

dipende, se hai le firme dei pacchetti, o tempo da perdere in controlli
incrociati (della serie era meglio virtual server)


Il primo comandamento del sistemista (beh, no, e' il secondo, il primo
parla dei backup) recita:
"Macchina compromessa si rasa e reinstalla."
Un corollario (apocrifo) aggiunge:
Se hai tempo e voglia, clona la macchina compromessa e poi analizzala.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net


Per rimettere in piedi una RH6.2?
Una distribuzione che ha sei anni?
A che pro?
Come minimo, ha piu' di un paio di flaw sfruttabili, dall'rpc all'ssh,
solo per citare i primi che mi vengon in mente, senza parlare del
kernel.


 Come minimo
boh, come minimo do per scontato che
non sia pubblico, altrimenti come e`
arrivato fino ad oggi sano?

Gordon Freeman wrote:

La spiani e la reinstalli con qualcosa di molto più recente di quella
distribuzione preistorica.
Dico di sostituire RH 6.2 perchè tentare di mettere in sicurezza qualcosa di
così vecchio "costa" molto di più che ripartire da qualcosa di più recente.
Verifica che i dati siano a posto e che i backup siano affidabili prima di
ripristinarli.
LG
-- 
Dott. Ing. Leandro Gelasi
LinuxHelp - Servizio supporto utenti Linux
Università di Roma "La Sapienza" - C.I.T.I.Co.R.D.
Email: gelasi(At)linuxhelp(punto)uniroma1(punto)it
Home Page: 
http://linuxhelp.uniroma1.it
Tel: 0649913828 - 23828 (int)

 arrivato fino ad oggi sano?
[*] E secondo te il rootkit sarebbe sintomo di un server sano e non
pubblico?
Difficile, direi.
Oltretutto, non sappiamo da quanto quel server sia compromesso, magari
e' dal 2002 che spara spam in conto terzi, oppure  solo venerdi' e'
stato preso di mira da un exploitante.
PS: ssh exploitabili sono anche ben piu' recenti di una 6.2.


Gordon Freeman ha scritto:

La macchina non è mia (nostra), è stata portata qui così (nel week end è 
stata spenta nella sede in cui era e portata qui) e sopra ha una 
procedura per la gestione del personale che deve girare fino alla fine 
dell'anno (come minimo - CAZZO).
Me ne sono accorto perchè l'IDS ha incominciato ad allarmarci - se 
spengo la macchina la gestione di progetti/commesse/risorse dell'azienda 
   xxx (appena assorbita) creerebbe una danno notevole, forse tenersela 
nel CED super firewallata è possibile... adesso vedo.

Gordon Freeman ha scritto:

Questo sono le tipiche soluzioni del cazzo che mi daranno, 
probabilmente, casini. MERDA

 vedere cosa e' compromesso.
se hai voglia di spiegarmi qualcosa d'interessante su firme pacchetti
e rootkit, stupiscimi pure, se vuoi solo attaccarti ai miei testicoli
prendi il ticket

 nel CED super firewallata è possibile... adesso vedo.
Affianca un altra macchina, sulla nuova macchina reinstalli tutti i
programmi che servono e trasferisci SOLO I DATI dalla vecchia macchina alla
nuova.
Tutte le altre soluzioni portano a grossi guai, pensa solo alla
compromissione a catena di altre macchine, magari di altri (e domande
spiacevoli tipo, chi ti ha autorizzato a prendere certi rischi, o risposte
spiacevoli tipo, non è vero ha fatto tutto lui.
Sempre che non ti fai firmare uno scarico globale e permanente delle
responsbilità.