Newsgroup: it.lavoro.professioni.webmaster
Titolo: Problema urgente!!!

Un saluto a tutti, ho da qualche anno un sito con una toplist hard che 
utilizzavo per pubblicizzare altri siti, lo facevo come hobby e per imparare 
qualcosa. Dopo poco lasciai perdere tutto per dedicarmi al lavoro dopo la 
fine degli studi, ma lasciai vivere il sito per conto suo dato che non 
necessitava di manutenzione, lo script era una toplist in php che faceva 
tutto in automatico. Proprio oggi mi arriva un'email in inglese che ho letto 
solo per caso credendo si trattasse di spam:
Dear Sir/Madam
INDENTIFICATION:
This e-mail was sent to you by Banco do Brazil's Computer Security Incident 
Response Team (CSIRT). Banco do Brasil is the largest bank in Brazil, South 
America. Our web site is located at 
http://www.bb.com.br
 and our customer 
financial service can be accessed at 
https://www2.bancobrasil.com.br/aapf/aai/login.pbk
.
THE INCIDENT:
Some crackers are using *your* infrastructure to host a trojan horse 
designed to steal sensitive information (office branch, account number and 
PIN) from our clients.
How the fraud occurs:
1. Spam mail is sent to random e-mail addresses in Brazil (not necessarily 
using your computers)
2. The e-mail sends the victims where the trojan is located (PLEASE SEE 
BELOW).
3. The victim's computer is compromised by the trojan horse
4. The trojan horse acquires sensitive information and sends the data to the 
cracker.
5. The cracker then impersonates our client in the official Banco do Brasil 
Internet banking page and frauds the account.
We are requesting that you take every possible action to prevent the use of 
your services in this scam.
This case is under investigation by law enforcement agencies in Brazil. In 
the meantime we need your help to block/disable this site/account. By doing 
this we can minimize the extension of the security incident. Additionally, 
we would welcome any information/log/archive/scrips concerning this case.
Best regards,
Banco do Brasil
CSIRT - Computer Security Incident Response Team
ab...@bb.com.br
 
http://www.bb.com.br
The trojan is located at:
Ttulo Cd        Msg Email
2005-10-03_IW        
http://www.mio
 
sito.com/toplist/banners/humortadela/card300700.scr
In pratica mi sono accorto che, nella sottocartella banner, cioe' dove gli 
iscritti potevano hostare il proprio banner sul mio sito, c'erano numerosi 
file anomali. Ho provato cosi' a cancellarli con il mio programma ftp ma mi 
da sempre permesso negato. Non mi permette di far nulla, ne di modificare il 
CHMOD ne di rinominarli...ho potuto rinominare solo la cartella banner. Mi 
potreste spiegare cosa e' successo e come posso fare per rimediare? Vi 
ringrazio anticipatamente per le risposte. 

FuoriSede ha scritto:

fare un backup dei dati, analizzare eventuali bug nello script e
contattare il fornitore di hosting e chiedede eventuali delucidazioni? :)
-- 
2T STUDIO - Servizi di Grafica Pubblicitaria e Sviluppo Web
  [web]   
http://www.2t-studio.com
	- Sviluppo Siti e Applicativi Web Oriented Validati W3C
	- Servizi di grafica pubblicitaria ed editoriale
	- Consulenze SEO (Posizionamento motori di ricerca)
  [Email] info [at] 
2t-studio.com

 PIN) from our clients.
Io ti condannerei a pagare una multa di 25.000 euro, al risarcimento di 
ogni danno fatto patire ad ogni persona infettata dal trojan oltre che a 
rifondere il danno d'immagine causato al Banco do Brasil.
La stupidità, l'ignoranza e l'incapacità va punita, SEVERAMENTE!
E ringrazia che sono un garantista altrimenti la pena sarebbe stata 
addizionata di calci nel culo da qui all'eternità.


www.danilobottone.com
 (.it)
Gli uomini hanno il dono della parola non per nascondere i pensieri, ma
per nascondere il fatto che non li hanno. (Kierkegaard) 

 ha scritto nel messaggio
Io ti condannerei a pagare una multa di 25.000 euro, al risarcimento di
ogni danno fatto patire ad ogni persona infettata dal trojan oltre che a
rifondere il danno d'immagine causato al Banco do Brasil.
La stupidità, l'ignoranza e l'incapacità va punita, SEVERAMENTE!
Scusami ma se io ho un appartamentoi n cui non ci vado da anni.....che colpa 
ne ho se vi si appostano dentro un gruppo di terroristi a mia insaputa? Sono 
loro che sono entrati in casa mia senza permesso o sbaglio? 

 loro che sono entrati in casa mia senza permesso o sbaglio? 
Non hai adempiuto all'obbligo di controllo dello stato in sicurezza di 
ciò che pubblicavi.
Pubblicare un software, a maggiore ragione se distribuito e ancora a 
maggiore ragione se a codice conoscibile da chiunque, ti obbliga ad 
assicurarti che questo non possa essere utilizzato per scopi illeciti, o 
quantomeno a seguire l'evoluzione del software ed installare patch ed 
aggiornamenti al fine di ridurre al minimo la possibilità di abusi.
Inoltre mi sembra più che evidente che in generale sei sempre tenuto a 
controllare quello che avviene nel tuo spazio web sia lecito. Lasciare 
uno spazio abbandonato nel tempo può diventare preda di chi vuol 
commettere abusi. Non curarsene può significare lasciare che altri 
commettano abusi utilizzando lo spazio sul quale gli hai gentilmente 
lasciato campo libero.
Se hai una fabbrica chimica nella quale sia facile intridursi 
abusivamente e la lasci abbandonata per anni, se in quella fabbrica 
entra un gruppo di terroristi che si mette a costruire bombe per 
uccidere persone allora assassino lo sei diventato un po' anche tu.
Leonardo da Vinci scrisse:
"Chi non condanna il male, comanda che si faccia"

uccidere persone allora assassino lo sei diventato un po' anche tu.
Scusa ma a me sembra una stronzata. Se uno entra in casa tua e ti ruba un 
coltello con cui commette un omicidio....sei un po' assassino anche tu? Ma 
dai.... 

 it.diritto ecc li ti diranno di piu'
In effetti e' andata proprio cosi', la cartella in questione era la cartella 
"banner" in cui gli utenti potevano uploadare i propri banner e, secondo le 
istruzioni dello script, per permettere cio' doveva avere chmod 777...credo 
sia stato questo l'errore. Il problema e' che quella cartella e' diventata 
intoccabile, non mi permette ne' di cancellare nulla, ne' di 
modificarla....ma com'e' possibile? 

 coltello con cui commette un omicidio....sei un po' assassino anche tu? Ma 
Non ti hanno rubato uno strumento e se lo sono portato via bensì si sono 
piazzati nel tuo spazio e da lì, grazie alla tua totale mancanza di 
controllo e sorveglianza, si sono messi a compiere atti illeciti. Ne sei 
responsabile anche tu.


www.danilobottone.com
 (.it)
Anche se sei abile, mostrati inabile; anche se sei capace mostrati
incapace. (Sun Tzu) 

 accesso root sul server danno un bel rm -r /home/tuosito :D
Li ho contattati chiedendo cosa possa essere successo.....ma si sono 
limitati ogni volta a cancellare i file senza darmi alcuna 
spiegazione....meglio che niente.