Newsgroup: it.comp.os.linux.debian
Titolo: Trojan: cavolo mi hanno bucato il server

Ciao a tutti,
con malincuore devo ammettere che hanno "bucato" il mio serverino di 
casa :'(
Ultimamente ho riscontrato un improvviso aumento della banda uscente 
utilizzata e una miriade di connessioni uscenti dirette a mezzo mondo su 
porte ircd.
Ho indagato un po' e ho trovato che questi simpaticoni in qualche modo 
sono riusciti a installare un trojan sulla /tmp (il nome del prog cambia 
sempre e nn è sinificativo) come utente www-data (server apache) ed 
ovviamente eseguirlo.
Sono riuscita a stoppare tutte le connessioni, killare tutti questi 
programmi in esecuzione, pulire la tmp, ma il problema ora sta nel 
trovare la falla dalla quale sono entrati.
Ora ho provato ad eliminare alcuni programmi di statistiche scritti in 
perl dalla cgi-bin, sperando fossero quelli la causa.
Vi do un po' di informazioni sul server.
Debian stable (costantemente aggiornata)
Linux version 2.6.8-2-686-smp
apache2 + php + mysql
mrtg
awstat
mailgraph
postfix
amavis
clamav + spamassassin
il Server è su DMZ protetto da firewall che abilita in entrata solo 
connessioni su porte 80,25,110,10000 2 20000 (avete capito insomma che 
servizi)
Volevo chiedervi se qualcuno sa prima di tutto dirmi cosa posso fare, o 
dove posso ricercare informazioni per bloccare la falla,
oppure pensavo di bloccare la possibilità di eseguire programmi dalla 
tmp, che dite?
Grazie a tutti,
bacioni
	Vale


http://csvtosql.sf.net
Per fare la maggior parte dei lavori occorrono tre mani. -- Legge di Murphy


Dimenticavo... ovviamente ho conservato il maligno. c'ho fatto un bel 
tar e rinchiuso in cantina :)
Clamav non me l'ha identificato come virus posso fare qualcosa per 
scoprire di che natura è ?
ciao

 ciao
L'hai fatto girare rkhunter?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
L'uomo e' nato per soffrire, e ci riesce benissimo.
		-- Roberto Gervaso

 
Verifica i log di apache.
Secondo me hanno sfruttato una vulnerabilità di qualche cgi se dici che 
tieni aggiornato costantemente il sistema.

80,25,110,10000 2 20000
I log cosa dicono?
Salva gli script che ti interessano 
Reinstalla il server magari mettendo apache in jail 
Ciao

 clamav + spamassassin
-- 
Vedo gli amici ancora sulla strada, loro non hanno fretta,
rubano ancora al sonno l'allegria all'alba un po' di notte:
e poi la luce, luce che trasforma il mondo in un giocattolo.
Faremo gli occhiali cosě, Faremo gli occhiali cosě!

 tmp, che dite?
Le cose da fare sono:
Reinstallare il sistema.
Comandamento zero del sysadmin:
Una macchina bucata la si reinstalla.
Se si vuole, e si ha tempo, si reinstalla su disco nuovo e
poi con calma si fa analisi post mortem sul vecchio.
Mettere /tmp noexec, nosuid, nodev e' il primo passo, e non
solo per questo specifico problema.
Fare sanitizzazione dell'input in tutto cio' che e'
attivo e prende da web, visto che parli di php.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

Valentina C ha scritto:

Intanto fai questo: apt-get install chkrootkit.
Poi lancia chkrootkit, per vedere se oltre il trojan hai dei rootkit.
Paride

Valentina C ha scritto:

Quale versione di awstats ?
A me hanno fatto lo stesso mesi fa usando awstats,
ho pulito e sistemato senza reinstallare e ora è OK.
-- 
       _
.-._.=\-.
(_)=='(_)______________/ helix \___

 servizi)
Se hai un firewall non è male bloccare anche tutte le connessioni in uscita
(tranne ovviamente per le porte che ti servono), in questo modo si riduce
la possibilità che un maleware possa 'chiamare casa' dopo l'installazione e
magari aggiornarsi all'ultima versione.
Se decidi di reinstallare la macchina, fai una passata con AIDE (è appena
uscita la versione 0.11) dell'installazione pulita e masterizza su cd il
risultato.
Ti aiuterà in fase di analisi dovesse ricapitare una cosa del genere.
Ciao
stefano

 
Non so che versione, l'ultima rilasciata con la debian stable. Comunque 
ho provveduto a disinstallarla. Probabilmente la causa è stata un 
exploit di mambo :(
ciao e grazie

 servizi)
Le DMZ esistono anche per evitare che i server posti in essa
possano aprire connessioni verso il mondo, ovvero, sul firewall:
iptables -A FORWARD -s $dmz_class -m state --state NEW,INVALID -j DROP
f/up it.comp.sicurezza.varie
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 tar e rinchiuso in cantina :)
Potrei chiederti di inviarmi la bestiola?
