Newsgroup: it.comp.sicurezza.unix
Titolo: Mi sono entrati sul Linux :-(((

Salve a tutti,
la mia azienda, tra le varie attivita', cura l'installazione di server Linux
in
internet... nulla di particolare, in genere sono macchine con RH 7.0
web e mail server ed io ne seguo l'aspetto sistemistico.
Cerco di mantenere uno stretto controllo sul sistema, ma le mie attivita'
sono prevalentemente altre (la classica figura jolly che fa un po' di tutto
in azienda).
Ho appena scoperto l'installazione di un root kit che nasconde molto
bene la "violazione" della macchina di un nostro cliente.
Non ho potutto dedurre molto.. hanno pulito i log e rediretto su /dev/null
i vari history, ho comunque scoperto la directory dove hanno parcheggiato
i programmi originali... davvero ben fatto: ls, netstat, ps, passwd,
telnetd,
login ed altri tutti sostituiti con versioni "taroccate" con data e size
"originali".
Da quello che ho potuto constatare sembrano essere entrati attraverso
sshd ma non posso essere sicuro.
C'e' un programma sconosciuto in ascolto sulla porta 12345
probabilmente di nome ssh2d di cui non so niente.
Interessante e'  che e' rimasta traccia su tale porta di una connessione
(CLOSE_WAIT) su 
warp.n-online.net
 e una connessione su ssh
sempre in CLOSE_WAIT su 
www.onlinekiosk.com
Una rapida ricerca sul sito di RedHat non ha portato nessuna info
aggiuntiva.
Qualcuno sa darmi ulteriori info ?
Inoltre, visto l'anonimita' di questo linux, mi chiedo chi ha interesse ad
entrare e fare quello che ha fatto.. e per cosa ???
per cambiare 2 paginette web ???
Il tarlo che mi "rosica" dentro e' ,visto il periodo di fobia terroristica
che viviamo, che non possa essere utilizzata come trampolino di lancio per
un attacco informatico di ben piu' vasta portata, eventualmente devo
segnalare la cosa a qualche ente preposto ?
Bye
Andrea



Qualcuno sa darmi ulteriori info ?
In breve, IMHO o uno dei due classici worm (le distro erano
aggiornate??) o password discutibili.
Oramai c'e` poco che tu possa fare tranne riformattare e reinstallare
"alla velocita` della luce" quella macchina.
La macchina compromessa potrebbe essere utilizzata per scopi non leciti
e tu (o il tuo cliente) potreste essere ricondotti ad una qualche
responsabilita`.
Post-Mortem, se vuoi evitare o cercare di capirne di piu` sul problema
dovresti:
- stilare una tabella di tutti i servizi offerti da quella macchina
- stilare una tabella di versioni del software in uso su quella macchina
  rispetto ai servizi
- incrociare le info con i soliti siti di security per evidenziare
  prodotti che avevano eventualmente debolezze che non sono state
  coperte.
Se avevi il DNS aperto, per esempio...
Ciao
-- 
"I know not with what weapons World War III will be fought, but World
War IV will be fought with sticks and stones."
		-- Albert Einstein
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

bene la "violazione" della macchina di un nostro cliente.
Prima di riformattare tutto, se puoi, prova a fare un'analisi post-mortem per
trovare che rootkit č stato utilizzato: puņ aiutare a scovare il servizio
attraverso cui sono entrati (es. tOrn->wu.ftpd o rpc.statd).
Guarda se hai qualche porcheria sulla tua rete interna: 12345 č la porta di
NetBus e magari stavano progettando (o hanno gią fatto) un tunnel verso una
delle macchine interne basate su windows.
Hai qualcosa in ascolto sulla 510/TCP per caso?
Fabio

 (Shakespeare)

E' questo che mi chiedo... tanto lavoro... per cosa ? 2 paginette www ???
Certo che no; una shell fa sempre comodo: la si puo' utilizzare come
base per attaccare altri host.
hola
Buttha

mah...
il divertimento, la Gloria...
che vuoi, che buchino le macchine del governo, cosi` dopo un po' li 
beccano??
-- 
    Pardo 
 
http://pardo.cjb.net
 
http://pardo.tsx.org


Probabilmente non l'avevo specificato... le 2 paginette web nemmeno le
avevano toccate.
A parte il rootkit non avevano fatto altro. Avevano lasciato la macchina
intatta.
Io mi sono accorto della cosa perche' avevano sostituito la sendmail con
una versione "precedente" e la 
sendmail.cf
, essendo per la verione 9,
risultava avere degli errori e quindi il demone non mailava + niente.
Divertimento e gloria penso centrino poco se non lo dici a nessuno
cos'hai fatto.
Ma forse li ho beccati prima che potessero "divertirsi" sul serio...
Bye

 ha scritto nel messaggio
news:9q135t$ktfef$1...@ID-97662.news.dfncis.de...


> Non c'è belva tanto feroce che non abbia un briciolo di pietà
