Newsgroup: it.comp.macintosh
Titolo: Aiuto per Trojan su mac

Ho un triste problema, spero qualcuno possa aiutarmi.
Tutti i file index.* del mio emac (su cui vi è apache+php) sono stati 
modificati.
Inoltre tale inconveniente si è trasferito sul mio server linux.
Il trojan in questione da una ricerca su google ("spykids ownz your 
server") mi pare piuttosto diffuso, ma data la mia difficoltà con 
l'inglese spero che qualcuno di questo ng possa aiutarmi.
A mio parere il trojan è questo descritto quì 
http://www.sophos.com/virusinfo/analyses/trojsowna.html
Profile  	
Name 	Troj/Sown-A
Type 	
     * Trojan
Affected operating systems 	
     * Unix
Side effects 	
     * Modifies data on the computer
This section helps you to understand how it behaves
Troj/Sown-A is a Trojan for the UNIX platform.
Troj/Sown-A overwrites all files named index.* under the /home directory 
with the following text:
spykids ownz your server.
Grazie a chi mi può rispondere
Ivano Venerandi
((Per Fabrizio: fammi sapere se hai novità))

 
da quel che c'è scritto qua:
http://www.bazon.net/mishoo/home.epl?NEWS_ID=1106
il virus sfrutta un bug di awstats (che non so cosa sia) presente fino 
alla versione 6.1
non so se gli aggiornamenti apple di sicurezza per panther risolvono 
questo problema.
il trojan dovrebbe essere uno script ma non ho capito dove si trova e 
come si potrebbe rimuovere.
è comunque il primo caso del genere che sento su macintosh. si vede che 
sei mio fratello.
f.
-- 
  Grand Cayman is great / Of course it is / Weather like this (sn)

 alla versione 6.1
awstats č un applicativo web per statistiche (tempo fa ho tradotto
insieme a iDave la versione in italiano), molto completo e assai
diffuso.
Acc!, non sapevo di questi problemi. Meglio aggiornarlo, allora.
ciao,
salvomic

 Acc!, non sapevo di questi problemi. Meglio aggiornarlo, allora.
se aggiornandolo scopri anche come debellare  lo scipt per chi se lo è 
già beccato mi fai una cortesia.


 già beccato mi fai una cortesia.
vedo un po'
intanto in ogni caso disabilitare l'aggiornamento dal web (impostare
AllowToUpdateStatsFromBrowser=0 in /cgi-bin/awstats.conf)
Del resto, i commenti del suddetto file avvertono:
# When this parameter is set to 1, AWStats add a button on report page
to
# allow to "update" statistics from a web browser. Warning, when
"update" is
# made from a browser, AWStats is ran as a CGI by the web server user
defined
# in your web server (user "nobody" by default with Apache, "IUSR_XXX"
with
# IIS), so the "DirData" directory and all already existing history
files
# awstatsMMYYYY[.xxx].txt must be writable by this user. Change
permissions if
# necessary to "Read/Write" (and "Modify" for Windows NTFS file
systems).
# Warning: Update process can be long so you might experience "time out"
# browser errors if you don't launch AWStats enough frequently.
# When set to 0, update is only made when AWStats is ran from the
command
# line interface (or a task scheduler).
speriamo basti.
-- 
salvo

 
http://www.sophos.com/virusinfo/analyses/trojsowna.html
Evidentemente, si'.
Ad ogni modo, dovresti fare un controllo piu' esteso:
[
http://www.sophos.com/virusinfo/analyses/perlsantyfam.html
]
*Perl/Santy-Fam*
Perl/Santy-Fam is a member of the Perl/Santy family of worms.
The worm spreads by exploiting vulnerabilities in PHP scripts. The worm
finds vulnerable scripts by using popular search engines.
The worm attempts to use these vulnerabilities in order to execute code
that will download and run a copy of itself. The worm may also download
and run other malicious files, such as Troj/Shellbot-A, Troj/Termapp-A
or *Troj/Sown-A*.
-- 
"CVEs are the cause of over 90 percent of all security breaches."
http://www.macnewsworld.com/story/42376.html

 già beccato mi fai una cortesia.
Lo so che sembra prendere a cannonate una mosca ma di solito quando
succedono cose simili la via migliore e' sempre una reinstallazione DA
ZERO con aggiornamento globale prima di rimettere on-line.
Cmq per il futuro ti consiglio di tenere anche Tripwire installato su
quella macchina. (sto realizzando un tutorial per l'installazione di
Tripwire che rilascero' sotto Gnu-FDL, se vuoi ti mando le bozze in
email)
EmJey
-- 
Non prendere la vita troppo sul serio... non ne uscirai mai vivo
http://www.joram.it/articoli/informatica/futuro.htm

 come debellare lo scipt per chi se lo è già beccato
# CERT/CC - Steps for Recovering from a UNIX or NT System Compromise:
 
http://www.cert.org/tech_tips/win-UNIX-system_compromise.html
# CERT/CC - Improving Security:
 
http://www.cert.org/tech_tips/
# Research Systems Unix Group - Radmind:
 
http://rsug.itd.umich.edu/software/radmind/
# Sophos - Protect against viruses, spyware, spam and policy abuse:
 
http://www.sophos.com/
