Newsgroup: it.comp.reti.ip-admin
Titolo: Server distrutto!

Ciao a tutti...
Oggi ho avuto una sorpresa piacevolissima...
Ac cendo la mia postazione e mi accorgo che un servizio di rete non era
attivo...
Mha... Chissa' cosa era successo... Prima provo il telnet tramite rete
locale... nessuna risposta del servizio... e penso "mha! si sara' piantatoil
servizio/programma!", vado dai server e mi piazzo davanti a l'unico computer
linux dell'ufficio, un computer con il quale stavo cercando di fare un
firewall e un dns... Da poco ero riuscito a settare il DNS come volevo io...
e mi approntavo a leggere tutto quello che ho trovato in rete a riguardo
linux & firewall...
La macchina naturalmente e' collegata ad internet e alla rete locale...
ritornado a questa mattina, tolgo lo screen saver e mi accorgo che nella
schermata di logon vi erano parecchie righe di errore o avvertenza... Nei
giorni passati le avevo viste ma erano sempre un paio e pensado che un
programma da me messo per la rete (un servizio inocuo che mi serve per la
rete interna) generasse quegli errori per via d qualche bug...
Ma una volta loggato come root mi accorgo che cronos non mi aveva mandato
nessuna e-mail (cosa alquanto strana!), cerco la dir del programma ed era
ok, ma mi accorgo che manca una directory di un utente!
Stranissimo!
Quasi impossibile!
Altra cosa me mi accorgo subito e' la presenza di una dir nella root di nome
CRK con dentro 2 file, uno di nome install e l'altro di 700k (non ricordo il
nome), che a detta di un mio amico il file da 700k e' un rootkit (programma
usato da hacker per bucare meglio...), provo ad avviare X ma niente,
problemi e core!
Lancio MC e mi accorgo che e' parecchi instabile e cora facilmente pure
lui...
Leggendo i log mi accorgo che vi sono degli accessi tramite un utente "tmp"
verso le 3 e le 6 della mattina precedente!
Ip non interni e con estenzioni .ro e .es!
Lasciando perdere che non so' manco di dove sia .ro, mi domando per quale
ca********** di motivo mi hanno rotto le ***** distrugendo un server!
Almeno fossimo una ditta grossa, capirei il perche' di colpirci, ma manco
siamo conosciuti su internet!
Bha!
L'unica traccia che ho di questo o questi che sono entrati sono nel lastlog
e nel log sercure, mentre credo le uniche tracce possibili sul quello che
hanno fatto (il bash_history dell'utente) lo hanno distrutto assieme atutta
la directory...
Che caspita posso fare?
Scusate lo sfogo e ciao ;^)=
--
Massimo "Red Foxy" Ciccio'
ICQ: 65721997
Fax: 1782217407
Home Page: 
http://www.redfoxy.go.to/
Web Master di:
 - Libreria Ciofalo: 
http://www.ciofalo.it
 - Quantum Leap: 
http://ql.amiworld.it
.o0 ------------------------------------------------------------------- 0o.
.o0 -------------- Dentro ognuno di noi c'e' un animale, -------------- 0o.
.o0 ----------------- sta' a noi scoprirlo e domarlo ------------------ 0o.
.o0 ------------------------------------------------------------------- 0o.
.o0 --------- Non c'e' uomo che non abbia paura dell'animale, --------- 0o.
.o0 --------------- non esiste uomo che non sia animale --------------- 0o.
.o0 ------------------------------------------------------------------- 0o.
.o0 ------------------------------------------------------ Red Foxy --- 0o.

 Lasciando perdere che non so' manco di dove sia .ro, mi
 .ro =  Romania. Ma penso che ti serve a poco :-(

 `The Krazy One'  ::-----+
|>  "To reign is worth ambition, though in hell."  | UIN: 21267457 <|
|< "Better to Reign in Hell Than Serve in Heaven." | IRCNet: KrAzY >|
|->     OpenPGP Key (1024D/70C9CBC1) available on KeyServers.     <-|
+--** And now for something completely the same... 

 Oggi ho avuto una sorpresa piacevolissima...
Ritieniti fortunato che il lamer e' un incapace...
-- 
 Daniele

 Che caspita posso fare?
Cerca di immaginare come hanno fatto ad entrare, potrebbe essere una
informazione utile sia per te che per gli altri in futuro.
Sono entrati perche' la password di quell'utente era troppo breve?
La password di login e' uguale a quella di FTP?
Come ha fatto a cancellare la directory? E' diventato super user?
Il ragionamento che non capisci perche' si siano accaniti con una ditta
piccola sarebbe interessante da sviluppare, allora sequendo questa logica il
sito Microsoft dovrebbe essere sotto continuo attacco su tutti i fronti ? E
forse lo e' gia' ma in qualche modo riescono a difendersi, a parte quanto
accaduto negli ultimi giorni.

 accaduto negli ultimi giorni.
Si... Niente piu' shell... Creazione immediata di firewall che lascia aperta
solo la porta 80...
Appro' di questo... Una volta creato il DNS che porte devo lasciargli aperte
per farsi l'update (considerate che sara' il miodns principale, con i domini
a lui puntati...)
Ciao ;^)=


 ha scritto nel messaggio
news:7lCd6.38609$Up.3...@twister1.tin.it...

Gia'... soprattutto perche' lo sospettavo...
CMQ mi sa' che erano entrambe delle shell e non degli user veri e propri


 Sorry per te, so cosa significa. :(
Gia' :\
Brutta rogna...
Perche' una volta colp'ito uno potrebbero colpire gli altri



Dici de perche' non ha fatto fuori i computer collegati alla rete?
Per questo pmi ritengo SUPER fortunato :P


 Dici de perche' non ha fatto fuori i computer collegati alla rete?
No, dico cosi' perche' si e' fatto beccare all'istante.
Sarebbe stato molto peggio se fosse rimasto li' senza farsi notare.
Ciao.
-- 
 Daniele

 i domini a lui puntati...)
53 udp e tcp.
-- 
Saluti,
Giancarlo


Dns chrootato pure quello.....
Giulio


Comunque se vuoi un modo di come hanno fatto ad entrare...
dimmi solo: hai il named attivo e la porta 53 aperta all'esterno? E il
pacchetto che contiene named (bind) è per caso <8.2.3 ?
Se sì... complimenti, hai vinto lo stesso attacco che ho vinto io domenica
scorsa...