Newsgroup: it.comp.sicurezza.unix
Titolo: [ATTACCO] - Datemi una mano

Sep  2 04:16:21 eco su(pam_unix)[8454]: session opened for user news by
(uid=0)
Sep  2 04:16:21 eco su(pam_unix)[8454]: session closed for user
news
Sep  3 04:09:43 eco su(pam_unix)[20608]: session opened for user news
by (uid=0)
Sep  3 04:09:44 eco su(pam_unix)[20608]: session closed for
user news
Sep  3 16:24:22 eco login(pam_unix)[22995]: bad username
[(MJJJJS(J]
Sep  3 16:24:25 eco login(pam_unix)[22995]: bad username []
Sep  3 16:25:13 eco login(pam_unix)[22995]: bad username [/X^[[A]
Sep  3
16:33:35 eco login(pam_unix)[23009]: bad username [//]
Sep  3 16:33:36 eco
login(pam_unix)[23009]: bad username [§]
Sep  3 16:33:45 eco
login(pam_unix)[23009]: bad username [/]
Sep  3 16:34:00 eco
login(pam_unix)[23009]: bad username [/AZ*/ç§]
Sep  3 16:34:48 eco
login(pam_unix)[23036]: bad username [/]
Sep  3 16:34:58 eco
login(pam_unix)[23036]: bad username [/]
Sep  3 16:35:44 eco
login(pam_unix)[23036]: bad username [/PL§ç£GLDC(M:ç§;]
Sep  3 16:36:13
eco login(pam_unix)[23040]: bad username [/]
.
.
.
Sep  4 04:10:55 eco
su(pam_unix)[25178]: session opened for user news by (uid=0)
Sep  4
04:10:55 eco su(pam_unix)[25178]: session closed for user news
.
.
.
Sep  5 21:19:13 eco login(pam_unix)[3103]: bad username []
Sep  5 21:19:13
eco login(pam_unix)[3103]: bad username []
Sep  5 21:19:13 eco
login(pam_unix)[3103]: bad username []
Sep  5 21:19:13 eco
login(pam_unix)[3103]: bad username []
La macchina é un PC con RH7.1 che
aveva installato inn-2.3.1-2.i386.rpm e inn-devel-2.3.1-2.i386.rpm.
L'utente news:x:9:13:news:/var/spool/news: non sembra apparire nei job di
cron.
Dentro messages ho notato anche:
Sep  2 04:02:01 eco syslogd 1.4-0:
restart.
Sep  2 04:02:01 eco syslogd 1.4-0: restart.
Sep  2 04:02:02 eco
syslogd 1.4-0: restart.
Sep  2 04:02:02 eco syslogd 1.4-0: restart.
Sep
5 09:08:46 eco syslogd 1.4-0: restart.
La macchina è stata trovata
spenta a caousa di un halt, shutdown, init etc...
Ho rimosso inn con
l'utente news (avrei voluto sperimentarlo per fare un feed sla mia rete
locale), ho controllato su, ls e qualche altra utility dei pacchetti
fileutils-4.0.36-4  e sh-utils-2.0-13 per vedere se erano diverse dalle
originali; ho accuratamente controllato i job di cron e cambiato tutte le
password.
Cosa mi consigliate di fare ?
Appena ho un pò di tempo vorrei
formattare ma non sarà prima di due settimane.
Che posso fare intanto ?
La macchina fa da DHCP(DHCP 3.0rc12) e da PROXY (Squid 2.4.STABLE1-2).
Il
DHCP è in failover su un'altra macchina.
Last e /var/log/secure mi danno
una situazione normale.
Ciao
--------------------------------
Inviato via 
http://usenet.iol.it

On Thu, 06 Sep 2001 09:47:15 GMT, 
fi...@hotmail.com
 (OX) wrote:
In linea di massima dovresti seguire questi passi:
- Devi sapere qual'è il baco che è stato utilizzato per accedere alla
macchina.
- Devi assicurarti se sono stato inserito qualche troiano o del codice
malefico sulla tua macchina.
- Devi eliminare il baco aggiornando il software o eliminando il buco
della sicurezza.
- Implementare un firewall sulla macchina.
- Eliminare i servizi attivi non necessari.
Se non ci sono stati danni non è necessario formattare l'hard disk,
per evitare questo devi essere assolutamente sicuro che non ci siano
state modifiche: avresti potuto utilizzare Tripwire per vedere
eventuali modifiche dei files.
PS: Non fidarti dei log di sistema: se il pirata è stato scaltro può
averli modificati.
Ciao
-- 
+------------- Soldino ---------------+
! "La presunzione è la peggior nemica !
! della conoscenza".                  !
+-------------------------------------+