Newsgroup: it.comp.sicurezza.unix
Titolo: mi hanno sniffato la Sun ?

Salve a tutti,
sono un ricercatore dell'istituto di matematica computazionale.
Ieri collegandomi con telnet alla Sun dell'istituto mi sono accorto
che il last login from mi dava un host sconosciuto. Purtroppo sul
momento non me lo sono segnato, pensando di andare a vedere con il
comando last chi si era collegato e da dove.
La prima sopresa (oltre a quella che qualcuno mi aveva fregato la password)
e' stata che il tale evidentemente aveva anche ottenuto i privilegi di root,
perche' aveva cancellato o resettato il file delle log, in modo da impedirmi
di vedere da dove si era collegato.
Sentendomi piuttosto impotente (non sono un esperto di unix)
ho controllato il file .history nella mia directory ed ho scoperto che
l'intruso ha fatto le seguenti cose:
ha scaricato e probabilmente compilato un file C nella directory /tmp e 
e ha uudecodato un file. 
Dopo di che ha preso il file (probabilmente creato da lui)
Rdist.Sun551.bin l'ha rinominato in "r" e l'ha eseguito.
Poi ha fatto la stessa cosa con il file ufrestore.sun551.bin.
Dopo di che ha dato un "rlogin localhost -l root", e qui ho perso le sue tracce.
Poi ha cancellato tutti i file che aveva creato in /tmp.
Questo e' quello che sono riuscito a capire dalla mia .history.
E dal fatto che aveva resettato il file delle log.
Apparentemente non ha fatto casini (almeno nella mia directory).
Naturalmente ho subito cambiato la password mia e quella di root, ma
temo che possa aver fatto qualche pasticcio "permanente".
Mi hanno parlato vagamente della possibilita' che mi abbiano cambiato
il kernel per poter entrare successivamente o cose simili.
Qualcuno ha una idea (o un link ad informazioni appropriate) di come fare
per accorgersi se hanno lasciato qualcosa di maligno nella Sun ?
Per il momento sto consigliando a tutti di cambiare le password e sto
monitorando le log per vedere se qualcuno si attacca dall'esterno. 
Il problema e' che su
questa Sun passa tutta la nostra posta, e quindi non posso tenerla ferma.
Saluti e grazie.
Giovanni Resta.

questa Sun passa tutta la nostra posta, e quindi non posso tenerla ferma.
Controlla anche che non ti abbia aggiunto utenti con privilegi di root...
(GroupID=0 o UserID=0)!
Auguri
--
Marco Nenciarini
mne...@intranet-team.it
"Gli stupidi sono sempre più furbi delle precauzioni
che poniamo per impedirgli di nuocere."
                                     VIII° postulato di Murphy

 per accorgersi se hanno lasciato qualcosa di maligno nella Sun ?
 
Mamma mia!
Se facevi dei backup regolari fai subito un controllo comparativo dei file
backuppati con quelli correnti. Verifica se ci sono differenza sulle
dimensioni e date dei binari dei servizi e demoni principali.
Ricontrolla la configurazione dell' "internet superserver" e disabilita
tutti i servizi non strettamente necessari (fingerd, ntalkd, rlogind, rshd etc, etc)
Provvedi ad aggiornare i servizi di posta smtp e pop3 ed usa un tcpwrapper
per filtrare e loggare tutti gli ingressi in ftp, telnet e pop3.
Non sottovalutare l'ipotesi di usare ssh anziche' telnet. Rivedi i diritti
degli utenti e non permettere il telnet da parte dell'utente root.
Fai in modo che il "su" per root sia concesso solo a pochi utenti e per finire
fai un salto qui 
http://www.cert.org
 . Aggiornati il piu' possibile e magari comunica
l'intrusione subita anche a quelli del CERT.
Buon lavoro, ciao.
Francesco

per accorgersi se hanno lasciato qualcosa di maligno nella Sun ?
Prova anche a controllare il file /etc/services per vedere che non ci
sia qualche servizio "anomalo" (talvolta viene aggiunto un servizio
che permette di accedere alla macchina facendo un telnet ad una porta
non standard).
Ciao
Luca
--
Luca Bruschi - 
I.NET
 S.p.A.
lucky[@]
Eru.INET.it
Togliere le parentesi [] per rispondere.

resta@@
imc.pi.cnr.it
 wrote:
 >Ieri collegandomi con telnet alla Sun dell'istituto mi sono accorto
Malissimo. Usa sempre e solo ssh o il telnet con SSL.
 >Apparentemente non ha fatto casini (almeno nella mia directory).
Probabilmente ha installato un rootkit, cioe` una serie di binari di
sistema patchati (compresi login, ps e netstat) che gli permettono di
collegarsi al tuo sistema senza essere loggato e senza che
l'amministratore se ne accorga.
 >Qualcuno ha una idea (o un link ad informazioni appropriate) di come fare
 >per accorgersi se hanno lasciato qualcosa di maligno nella Sun ?
Su 
ftp.cert.org
 c'e` un file che spiega cosa controllare dopo una
intrusione. In particolare assicurati che l'accesso a quella macchina
via telnet e rsh/rlogin sia bloccato dall'esterno tramite il router
dell'istituto.
Controlla anche la sicurezza di tutte le macchine di quel segmento di
ethernet (l'intruso potrebbe avere usato uno sniffer) e di tutte le
macchine a cui e` possibile collegarsi da quella con rsh senza password.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 comando last chi si era collegato e da dove.
[...]
Segui i consigli del messaggio di Munaretto.
In un break perpetrato su una delle mie macchine erano anche accadute
le cose seguenti:
o) ls era stato modificato in modo da nascondere file particolari
(che ho trovato con find)
o) ps e pstree (era una macchina linux) era stato modificato
per nascondere particolari processi.
o) login era stato rimpiazzato con una versione dotata di trapdoor
o) era stato installato un demone telnet modificato su di una porta
alta, che risultava ( visto con il ps autentico, quello modificato
lo nascondeva) girare come in.checkd ed era fatto partire
da inittab (*non* da inetd !) in respawn.
o) erano stati installati vari sniffers, keboard grabbers, etc.
tutti nascosti dal'ls modificato e controllati da file - anch'essi
nascosti - mimetizzati in /usr/local/man
o) piu' altre cosette sotto direttori chiamati ... ' ' etc.
In breve. Mi ci e' voluto del bello e del buono per rimettere la 
macchina in bolla, e anche allora non ero sicuro.
Se la tua Sun e' ragionevolmente pulita (cioe' poco personalizzata)
ara il disco e reinstalla Solaris... Ci vuole meno tempo e fatica.
Cheers,
	Alessandro

questa Sun passa tutta la nostra posta, e quindi non posso tenerla ferma.
ok, ma prima fai i dovuti controlli e stai in campana perche potrebbe
tornare 
-- 
----------------------------------------------
Blade Spammer II
AntiSpam Net-Runner Unit
----------------------------------------------

 >per accorgersi se hanno lasciato qualcosa di maligno nella Sun ?
Tieni sotto controllo le connessioni a qualsiasi porta, anche quelle telnet,
per un po' di giorni.
Purtroppo chi entra nei sistemi si apre porte dedicate ai suoi "affari
loschi". Anche se dovessi risalire al suo IP, potrebbe essere solo un altro
computer "rubato" da cui effettua le sue operazioni.
Ciao, Raffaello

 questa Sun passa tutta la nostra posta, e quindi non posso tenerla ferma.
mi spiace, ma l'unica soluzione SICURA e' reinstallare tutto!!!
e dico tutto! non puoi assolutamente fidarti della tua macchina attuale!
Spero per te che tu abbia dei backup recenti...
Se tu avessi dei backup precedenti l'intrusione, potresti provare a
controllare le dimensioni dei file e dei permessi, ma con questo non saresti
ancora sicuro!
Quasi sicuramente il BASTARDO, ti ha sostituito il login, il telnet ecc con versioni
modificate che gli consentono di accedere alla tua macchina con i permessi di
root...
Controlla che non ti abbia aggiunto utenti "0".
Controlla che non ci siano nuovi utenti, e che non ci siano nuovi programmi
SUID root...
Cambia tutte le password
Controlla tutti i processi in memoria. disabilita l'accesso alla tua macchina
al di fuori della tua rete locale..
Comunque, l'unica cosa che puoi fare, per essere sicuro, e' reinstallare
tutto.... :(
-- 
________________________________________________________________
Luca Di Taranto                             dita...@zappami.tin
to email me, please, remove "zappami" and add ".it" after ".tin"

Grazie a tutti per i suggerimenti.
In effetti ho controllato subito che gli eseguibili (ls ps ecc.ecc.) fossero
quelli originali, cosi come ho controllato la presenza di files con
nomi strani.
Sembra tutto a posto. Ho anche rimesso a posto il file .rhosts della root
che era stato settato a " + + " ...
Probabilmente l'attacco era appena iniziato quando me ne sono accorto,
e non avevano ancora installato rootkit e diavolerie varie. 
Gli effetti non erano stati mascherati bene, vedi mia .history con i comandi
incriminati e il troncamento brutale del file di log degli accessi.
Comunque vedro' di passare a ssh. (Cioe' sulla Sun c'e' gia', ma esiste
per Mac e Pc, dai quali mi collego abitualmente ? Indaghero'.)
Nell'istituto nel quale il mio istituto si trova conficcato,
e del quale condivide la rete, ci sono state in estate diverse "penetrazioni".
Un ricercatore che ha subito un attacco molto simile al mio e se ne e' accorto
solo dopo molto tempo oltre ai vari file modificati (ps ls...) e file aggiunti
(...) si e' pure ritrovato un programma (mi sfugge il nome) per le chat.
Purtroppo l'ipotesi che da qualche parte si annidi uno sniffer e' molto
probabile.
Grazie ancora,
Giovanni Resta.

 (...) si e' pure ritrovato un programma (mi sfugge il nome) per le chat.
eggdrop, probabilmente. E' quello che avevano installato a me.
Prima di ogni altra cosa, io metterei i wrappers di Wietse Venema.
(Con un controllo 'fascista' sugli accessi ovviamente)
Sono molto difficili da bucare, e ti danno gia' un discreto livello
di sicurezza.
Cheers,
	Alessandro

per Mac e Pc, dai quali mi collego abitualmente ? Indaghero'.)
ssh per pc c'e'. 
World-Wide Web:  
http://www.DataFellows.com
,
 
http://www.Europe.DataFellows.com
Anonymous FTP:   
ftp.DataFellows.com
,
 
ftp.Europe.DataFellows.com

 e del quale condivide la rete, ci sono state in estate diverse "penetrazioni".
ho notato che spesso si tratta di ragazzetti che sniffano le password che
girano in chiaro , quindi SSH mi sembra molto utile !
poi sicuramente il fatto di aggiornare periodicamente le versioni dei
programmi che si usano e' una buona abitudine !
Ciao
----------------------------------------------
Blade Spammer II     
AntiSpam Net-Runner Unit
" I've seen SPAMs you people wouldn't believe.
   Time to shutdown. "                     ;^)
----------------------------------------------

pol_ger...@hotmail.com
 wrote:
 >>per Win95 ,il client SSH che uso io si chiama 
 >Qualcuno conosce un client per win3.* possibilmente freeware?
C'e` un modulo per teraterm, ma non ho idea di dove trovarlo.


 C'e` un modulo per teraterm, ma non ho idea di dove trovarlo.
Untested links:
http://hp.vector.co.jp/authors/VA002416/teraterm.html
Windows TeraTerm
http://www.zip.com.au/~roca/ttssh.html
TeraTerm SSH Extension
	acertificato,
	   Cthulhu
-- 
       Ph'nglui mglw'nafh Cthulhu 
http://www.rlyeh.it
 wgah'nagl fhtgan!