Newsgroup: it.comp.sicurezza.unix
Titolo: Mi sono entrati...

 
da dietro...!
Scusate la battuta, anche un po' volgare stile Balasso di Zelig.
Scherzi a parte, qualche giocherelllone si e' impossessato di una
macchina della rete che funge da Dns.
Mi sono accorto del fatto effettuando una scansione delle porte e
appena vista una porta non compresa tra i servizi installati mi sono
accorto che tale servizio apriva una sessione di shell senza password
alcuna.
Tale porta era dichiarata nel inetd.conf.
I servizi installati sul dns sono oltreche' al bind, ftp, ssh,
sendmail e ned, che e' un programmino che serve ad aggiornare
dinamicamente il dns per alcuni clienti che hanno gli ip non fissi.
Mi rendo conto che di buchi aperti ce ne siano un granche' anche
perche' forse per sola fortuna, prima d'ora non avevamo mai subito
attacchi.
Ora dopo che ieri mi sono accorto del danno e dopo aver esaminato i
log (senza trovarci nulla di strano se non una connessione in ftp da
parte di un ip estraneo ai soliti noti da me usati) l'unico utente
reale non root sono io, la versione di WuFtp e' aggiornata alla 2.6;
ho lasciato la macchina cosi' come era chiudendo sendmail ad esempio e
questa notte c'e' stata una altra intrusione.
La mia domanda e' qualcuno potrebbe darmi una idea da dove possano
essere entrati. Il mio primo sospetto e' il bind, dal momento che
sicuramente non e' stato aggiornata alla ultima versione, ma a questo
punto avrei bisogno di sapere come hanno ottenuto i permessi di root
con lettura e scrittura dei files.
La seconda ipotesi potrebbe essere il kernel vero e proprio, mi pare
che ci fosse installata una 2.2-?? (non ricordo, adesso sono fuori
sede)
Una ultima domanda, me ne sono accorto senza essere un grosso esperto
di sicurezza, nel senso che la data del file inetd.conf non era stata
lasciata inalterata, ma riportava quella della ultima modifica, ho a
che fare con un semplice lamer che ha trovato uno script che fa' tutto
da solo oppure sono di fronte ad un attacco serio fatto da
professionisti?
(sulla macchina in effetti non sono state fatte operazioni strane, ma
questo in effetti mi preoccupa un po', magari la stavano preparando
come ponte per un Dos)
Grazie anticipate a chi vorra'/potra' rispondere
|----
|Stefano Orsi
|Email: 
s.orsixxxatogcs.com
*** Remove xxx and switch at with @ from Email address ***



 ha scritto nel messaggio
news:3aa8b92b...@news.inwind.it...




state "truccate" le date dei files manomessi...
era in effetti un po' il mio pensiero, vedro' di risistemare la cosa
al piu' presto.
Scuse a tutt l'NG per il triplo invio, FreeAgent mi continuava a dire
che il messaggio non era stato spedito e che il server non me lo aveva
accettato, invece... sorry


 professionisti?
forse trovi risposta qui:
1. Multiple Vulnerabilities in BIND
The CERT/CC has learned of four vulnerabilities spanning
multiple versions of the Internet Software Consortium's (ISC)
Berkeley Internet Name Domain (BIND) server. BIND is an
implementation of the Domain Name System (DNS) that is
maintained by the ISC. Because the majority of name servers in
operation today run BIND, these vulnerabilities present a
serious threat to the Internet infrastructure. The CERT/CC has
begun receiving reports of these vulnerabilities being
successfully exploited. Sites are encouraged to follow the
advice in CA-2001-02 to protect systems.
CERT Advisory CA-2001-01 Multiple Vulnerabilities in BIND
http://www.cert.org/advisories/CA-2001-02.html
2. Compromises Via Ramen Toolkit
The CERT/CC has received reports from sites that have recovered
an intruder toolkit called 'ramen' from compromised hosts. Ramen
has been discussed in several public forums and the toolkit is
publicly available. Ramen exploits known vulnerabilities in
FTPD, rpc.statd, and LPRng; and it contains a mechanism to
self-propagate. Over the past several months we have received
multiple daily reports of sites being root compromised by the
Ramen toolkit. Sites, especially those running Linux, are
encouraged to review the following document:
CERT Incident Note IN-2001-01, Widespread Compromises via
"ramen" Toolkit
http://www.cert.org/incident_notes/IN-2001-01.html

al piu' presto.
E' la stessa cosa capitata a me qualche settimana fa: bind 8.2, porta 53
scordata malauguratamente aperta, e ciao al server che č stato rootato.
I sintomi erano gli stessi che  hai descritto tu, piů altra roba che non
ha visto, mi pare, piů forse altra che non avevo visto nemmeno io.
In  ogni modo  sorry per  il tuo  server ma  č spacciato,  quando  te lo
rootano l'unica č riformattare e reinstallare, altrimenti non potrai mai
stare  tranquillo. Una  volta rootato  potrebbero  potenzialmente averti
fatto *qualunque* cosa, e se non te ne accorgi rischi di andare incontro
a guai seri.
-- 
Massimo Bacilieri AKA Crononauta ______________________
========================|  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html


Purtroppo era una decisione alla quale eravamo gia' arrivati, se non
si sa cosa hanno fatto l'unica strada e' proprio quella.
Tutta esperienza...!
Grazie a tutti per la prontezza delle risposte, spero di poter
contraccambiare un giorno.
|----
|Stefano Orsi
|Email: 
s.or...@ogcs.com
*** Remove xxx from Email address ***