Newsgroup: it.comp.sicurezza.unix
Titolo: Porta strana!

Ho provato a fare:
$fuser -v 54321/tcp
e mi restituisce questo messaggio:
                          USER        PID ACCESS COMMAND
54321/tcp            root          423      f....               inetd
Non pare strano che l'inetd esegua un comando che apre questa porta?
Volendo potrei disabilitarla in modo tale che in caso di problemi riavviando
la macchina comunque il servizio mi riparte. Ma quale deamon arresto? Cosa
mi consigliate di fare?
--
Kishar

 deamon arresto? Cosa mi consigliate di fare?
si, strano e` strano..
root@warped:~# grep 54321 /usr/local/share/nmap/nmap-services
bo2k    54321/udp  # Back Orifice 2K Default Port
heh. anche se questa e` udp, non tcp.. ma sinceramente non saprei che
altro possa essere (i demoni che partono da inetd di solito usano
porte privilegiate (> 1024), non porte cosi "alte")
ad ogni modo, apri /etc/inetd.conf e commenta tutto tranne quello che
ti occorre.. poi dai un killall -HUP inetd
se la porta e` ancora aperta c'e` qualcosa che non va =) .. prova a
telnettare su quella porta, vedi un po cosa succede.. usa uno sniffer
e vedi che passa durante il giorno da quella porta
controlla se il tuo file inetd (e quella di eventiali files
"sensibili") e` esattamente lo stesso di quello che la tua
distribuzione installa (dimensione, MD5..). se non combaciano, e`
molto probabile che tu sia stato "owned" :D
di piu` non saprei dirti
-- 
-andreas liebschner
 
http://www.distorta.info
rimuovi .NOSPAM per rispondermi in email

mi consigliate di fare?
LOL. Se non c'è in /etc/inetd.conf una riga che fa partire questo
servizio evidentemente hai una backdoor...
-- 
ciao, | * The Internet is full. Go away.  -- Joel Furr *
Marco | (Ri)scoprire fidonet: 
http://bbs.bofh.it

 servizio evidentemente hai una backdoor...
Non capisco una cosa...  perché nel mio sistema (Red Hat 7.1) questo file 
non esiste? C'è invece la cartella xinetd.d che contiene un solo file (e non 
elenca i servizi che posso concedere.....)
E' normale?
Grazie mille.
mick

E' normale?
xinetd è un sostituto di inetd, e quanto ho già scritto si applica anche
a lui.
In più, se il tuo sistema usa inetd ma lsof trova un processo inetd
dovrebbero venirti sospetti ancora più forti sulla presenza di ospiti...


 dovrebbero venirti sospetti ancora più forti sulla presenza di ospiti...
Grazie per la spiegazione (probabilmente era una ripetizione ennesima e me 
ne dispiace, ho postato "d'impulso" hehehe).
mick


Nel caso avessi il Back Orefice 2K installato come faccio a toglierlo? :(
--
Kishar

 e vedi che passa durante il giorno da quella porta
Ho provato ad utilizzare il telnet su quella porta e mi apre una
connessione!!!
--
Kishar

 molto probabile che tu sia stato "owned" :D
Una volta tolto il back orefice mi ritornano tutti normali i files? Oppure
c'č da girarsi i c...i per ripristinare il tutto?
--
Kishar

 c'č da girarsi i c...i per ripristinare il tutto?
Se la tua macchina e' stata compromessa, l'unica cosa sensata da fare e':
1) Da un sistema sicuramente pulito, montare la partizione compromessa e 
backuppare il tutto
2) Formattare e reinstallare ex novo
3) Investigare su quanto avvenuto (nel backup della partizione 
compromessa) per capire quale falla ha permesso all'intruso di entrare
Ovviamente i punti 1) e 3) sono opzionali, anche se capire qual'e' stato 
il "buco" e' fondamentale per non ritrovarsi la macchina nuovamente 
compromessa...
Ti rimando a questo eccellente documento:
http://www.cert.org/tech_tips/win-UNIX-system_compromise.html
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus

 
http://www.cert.org/tech_tips/win-UNIX-system_compromise.html
Hmm, interessante, mi era sfuggito.
Infatti, quel documento non me lo da' accessibile.
Poco male, andando per passi, da tech_tips si arriva ad una serie di
documenti ora separati per sistema operativo, di sicuro interesse.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 
http://www.cert.org/tech_tips/win-UNIX-system_compromise.html
Concordo con il post che ti ha inviato rpoggi, i link non č visibile.
--
Kishar

 1024), non porte cosi "alte")
ovviamente era "<" (minori), non ">" (maggiori).. me ne sono appena
accorto


sistema operativo, anche perchč non ho mai istallato un antivirus su linux.
Altre corbellerie in liberta`. Se la tua macchina ha realmente ricevuto
un break-in l'unica cosa che puoi fare _seriamente_ e` quello che ti ha
suggerito non ricordo chi un po` di articoli fa.
Per la cronaca: antivirus per linux (nel senso che riguardano il file
system di linux) non ci sono, il modello di fs con accessi differenziati
uniti alle specifiche architetturali rende la scrittura di un virus una
cosa totalmente inutile.
Oltre alle differenze architetturali (di cui devi cmq tenere conto)
esiste poi il problema non banale che dovrebbe essere eseguito da root.
ergo, nessuno scrive virus per linux. E' una STRAFAQ.
backuppa il disco. formatta e reinstalla.
Poi cerca di capire come/dove sono entrati, diversamente risuccedera`
nel tempo che ci metti a dire "e` stata una passeggiata".
-- 
Your mouse has moved. Windows NT must be restarted for the change to 
take effect. Reboot now?  [ OK ]
Maurizio - Tannoiser - Lemmo
STIGE Srl Servizi Informatici
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 
Negli ultimi giorni, però, mi è stato recapitato un avviso per una mail 
spedita ma non recapitata, il cui oggetto era tipico del worm W32Klez@MM.
Dimenticavo: ovviamente uso Linux.
mick

 W32Klez@MM. Dimenticavo: ovviamente uso Linux.
come ti hanno detto, non ci sono virus in linux (unix o bsd), e anche
se ce ne fossero dovresti esegurli _tu_ da root per avere effetti
simili ai virus in windows.
in linux inoltre per fortuna non ci sono client email (o browser) che
eseguono ogni tipo di file che gli proponi in attachment o in una
pagina web, file jpg o altro.
se qualcuno ti buca il box e ci piazza un troian o comunque un demone
che gli consente di accedere al tuo box lo fa perche` ha trovato una
falla o meglio un exploit di qualcosa che hai installato (wu-ftp,
telnet, openssh tanto per citarne alcuni). l'unica cosa che puoi fare
in questi casi e` stare sempre aggiornato per quanto riguarda gli
exploit che vengono trovati, annunciati e risolti (bugtraq di
securityfocus.com
) .. e fare backup spesso (prevenzione) o controllare
i checksum dei files sensibili che possono essere stati sostituiti (es
netstat, inetd, etc etc) e ripristinare quelli originali. oppure piu`
semplicemente reinstallare ("cura").
in *nix non esistono virus, non esistono "antivirus" se non quelli che
puoi usare "abbinati" a server che smistano la posta in locale (reti
miste *nix e windows) per fare una pulizia a monte e per essere certi
che nessuno sulla tua rete, riceva virus (in windows).


Dimenticavo: ovviamente uso Linux.
quel W32 non ti dice nulla?
cit.:
This destructive mass-mailing worm propagates copies of itself across
network drives. Upon execution, it drops two executable files, WINK*.EXE
and WQK.EXE, in the Windows System folder. It also creates registry
entries that allow it to run at system startup.
cosa c'entra tutto questo con linux?
-- 


 cosa c'entra tutto questo con linux?
Sono stato poco accurato io, nel riferire quanto avevo da dire.
Il virus di cui parlavo non mi ha infettato, in quanto il virus in questione 
è un virus per macchine con piattaforma Windows, e quindi qualsiasi 
eseguibile non riesce ad essere interpretato in ambiente UNIX-like.
Volevo invece dire che questo virus riesce a farsi spedire ugualmente 
sfruttando la mia connessione SMTP.
La cosa mi ha colpito, in quanto non credevo fosse possibile.
mick

 sfruttando la mia connessione SMTP.
NO!
Quel virus manda i suoi strali USANDO come from un indirizzo preso a
caso anch'esso dal database della vittima.
Cioe': Un tuo amico si e' infettato, ed aveva nella rubrica il tuo
indirizzo, e altri cento.
Il virus ha inviato a cento indirizzi, apponendo IL TUO indirizzo come
mittente.
Il server destinatario, ha risposto a cio' che lui credeva fosse il
mittente, cioe' a te.


 mittente, cioe' a te.
Chiedo scusa, ma replico soltanto per capire meglio, anche se stiamo andando 
OT (e ne chiedo scusa a tutti i lettori)
Il virus non può propagarsi dal mio sistema per lo stesso motivo per il 
quale non può infettarmi, giusto? (ovvero la diversità degli eseguibili fra 
diversi sistemi operativi)
Grazie ancora per le risposte, e chiedo scusa ai lettori per l'invasione in 
un thread che tratta di altro problema.
mick

 nico
Questo argomento era essenzialmente una FAQ, quindi ne avevo già sentito 
parlare. Volevo però essere certo del fatto che il virus non potesse 
sfruttare il protocollo SMTP (senza usare il client di posta elettronica, 
quindi) per spedirsi ad altri.
Grazie mille per le spiegazioni. =))
mick

 Concordo con il post che ti ha inviato rpoggi, i link non č visibile.
Strano, oggi lo vedo perfettamente... boh!


 tipo x::0:0, senza password ed equivalente a root.
Ho notato che non ho sotto passwd nessun utente tranne root.
Ho notato inoltre che se provo ad eseguire il telnet su quella porta mi
richiede una login e una password come una normale sessione telnet.
Puņ darsi che installando qualche appicazione mi ha aperto la porta 54321
come una 'traslazione' della porta telnet?
Infatti, se eseguo una sessione telnet mi richiede la user e la pwd. Adesso
se mi vado a vedere all'interno del file etc/passwd non ci trovo altro che
gli utenti creati da me, questa persona come entra se non conosce alcun
nessuna password? In teoria č come se fosse una normalissima sessione
telnet!! non credi?
--
Kishar

 telnet!! non credi?
No, sei un po' ingenuo: credi davvero che quel che risponde dietro la 
porta 54321 sia telnet "originale", e non un telnet "addomesticato" a far 
entrare chiunque...
BTW, prova a controllare se in /dev/ esiste un file chiamato "caca"... 
ovviamente non puoi utilizzare ls, prova ad esempio a utilizzare questo 
comando:
if [ -e /dev/caca ] ; then echo "yoyo r00tkit exists, you have been 
owned" ; fi
se ti compare la scritta tra apici, hanno utilizzato un certo rootkit... 
BTW, avevi wu-fptd installato? se si, che versione? 


 BTW, avevi wu-fptd installato? se si, che versione?
Non ho istallato alcuna versione di wu-ftpd.
Allo stato attuale non posso reinstallare il s.o. in quanto ho all'interno
diversi domini. Quindi altra soluzione possobile potrebbe essere quella di
aggiornare tutte le versioni dei deamon e montarci una firewall? E altra
domanda se provassi a killare quella porta che succede?
--
Kishar

In teoria č come se fosse una normalissima sessione telnet!! non credi?
no. non credo.
ma giusto per ridere, un netstat -lutnp ?


 domanda se provassi a killare quella porta che succede?
Nulla, ammesso che kill funzioni: il problema non e' la porta in se, in 
quanto tapperesti una porta avendo un portone aperto e spalancato dietro 
di te... Beh, si: magari e' un portone dipinto di mattoni e con un bel 
quadro appeso.... ma c'e', potrei scommettermi il mio ultimo eurocent...


mi consigliate di fare?
Probabilmente hai installato fakebo.
-- 
Saluti,
    Mardy
http://castellina.org/interlingua

 dato?
Si ho provato e non mi da nessun risultato. Il che vuol dire, credo, che il
tipo non ha utilizzato rootkit
--
Kishar


No non ho installato fakebo.
--
Kishar

 tipo non ha utilizzato rootkit
No, vuol dire che il tipo non ha usato QUEL rootkit.
Magari il "ragasso" era abbastanza astuto da esserselo costruito... 


"HappyCactus" <happycactus...@desert.nowhere>
Diciamo che faccio solamente per approfondire un pò l'argomento, quindi se
dico un paio di ca..ate non mi assalite.
Esistono programmini che consentono di monitorare le porte e in caso di
apertura capire quale deamon o ICMP o simili l'hanno avviata? In quel caso
sarebbe possibile rilevare il file e sostituirlo! Almeno penso!! :-\
--
Kishar

Trovato file infetto. Il file è 'netstat'. L'ho trovato tramite 'chkrootkit'
. Probabilmente non è neppure l'unico!!?
Cosa ne pensate, provo a toglierlo?
--
Kishar

 Cosa ne pensate, provo a toglierlo?
No, devi reinstallare tutto da capo! E' inutile, devi rassegnarti, non 
c'e' modo su questa terra per essere sicuro che sia tutto ok. Potrebbero 
ribucarti tra 2 giorni senza alcuna fatica
-- 
HappyCactus - Registered Linux User #209744
http://utenti.tripod.it/happycactus
Made with 100% recycled electrons

Cosa ne pensate, provo a toglierlo?
allora, voglio sperare che tu sia in buonafede. Perche` diversamente ho
_davvero_ la sensazione che tu stia prendendo in giro le persone.
Ripeti con me:
a. la mia macchina _non_ e` _infetta_.
b. la mia macchina e` _drammaticamente_ compromessa.
c. devo riformattare _assolutamente_ la mia macchina.
ti faccio notare alcune cose:
I file compromessi potrebbero essere _mille_.
Se la tua macchina e` regolarmente connessa ad internet tu ne sei
_responsabile_. Se qualcuno sta facendo un uso _improprio_ della tua
macchina, cmq _tu_ sei il responsabile.
Cerca di comprendere che non e` tutto un gioco, perfavore.
ciao.
PS: nulla di personale, ovviamente, temo solo che tu non abbia ben
chiara la gravita` della cosa.



Allora, kishar o marco o m0rpHer o come vuoi essere chiamato:
- hai una macchina con cui fai hosting per i tuoi clienti;
- da come si presenta il tuo sito sembrerebbe che tu faccia commercio
  elettronico e quindi direi che probabilmente su quella macchina ci
  sono dati a cui i tuoi clienti tengono abbastanza;
- sono mesi che hai problemi a gestire quella macchina;
- sono almeno tre settimane che hai (o che dovresti avere il sospetto)
  che probabilmente hai una  backdoor a bordo;
- ieri (dopo tre settimane in cui non so cosa tu abbaia fatto fatto) hai
  avuto la conferma, qualora ce ne fosse ancora bisogno, che hai un rootkit
  installato;
- il rootkit probabilmente ti e' stato installato dopo che gia' in altri
  post alcuni (tra cui io) ti avevano consigliato di dare un occhio alla
  configurazione della tua cobalt e di valutare eventuali vulnerabilita'
  dei tuoi server (quella porta era chiusa al tempo; o era una macchina
  diversa?);
- come ho potuto trovare io la tua macchina partendo dalle informazioni
  desumibili dai tuoi post puo' farlo chiunque e quindi penso che ci
  possano essere un certo numero di persone che si stanno sfregando le
  mani dalla gioia per aver trovato un groviera senza fare fatica (sempre
  che il  buontempone che ti ha messo il rootkit non ti abbia gia' anche
  patchato la macchina);
- come hai potuto vedere anche l'altra volta molti hanno cercato e' stanno
  tuttora cercando di darti una mano. Seriamente.
Ora: perche' sembra che per te tutto questo sia un gioco?
Fabio

 Allora, kishar o marco o m0rpHer o come vuoi essere chiamato:
Comunque m0rpHer non sono io!!!?

> Comunque m0rpHer non sono io!!!?
No infatti: m0rpHer alludeva al fatto che usi nomi diversi negli stessi
newsgroup cambiandoli a breve distanza di tempo. Non e' una buona pratica.
La soluzione al tuo problema temo che te l'abbiano gia' data: la situazione
e' grave e reinstallare tutto da zero potrebbe essere l'unica via. Essendo
che la macchina e negli stati uniti la cosa non sara' certo ne indolore ne
economica.
L'altra possibilita' e' quella di ricoprire con copie sicure tutti i binari,
script, librerie, rivedere tutti i file di configurazione... anche il kernel
potrebbe essere stato patchato. Un lavoro improbo che potrebbe comunque
lasciarti dello sporco sulla macchina. E non penso che ci metteresti meno in
termini di tempo. Potrebbe non valere la pena di rischiare.
Non e' che per caso su quella macchina c'era installato tripwire, aide o
cose simili? Questo potrebbe aiutarti ma non so fino a che punto, se non
hai tenuto aggiornati i database delle segnature.
Considera che mentre leggi questo post ci potrebbe essere qualcuno che
bellamente scorrazza sulal tua macchina facendo le peggio cose.
E... no: e' inutile che guardi i log o usi netstat, last o w :( Piuttosto,
finche' non puoi fare qualcosa, controlla il traffico che entra ed esce da
quella macchina sniifando da un'altra macchina della subnet e controlla che
altre macchine che eventualmente avevano relazioni di trust con quella siano
a posto. E guarda se sui dischi erano presenti informazioni che possano
essere state utilzzate per accedere ad altri sistemi (elenchi di password,
chiavi private, ecc.).
Fabio

 E... no: e' inutile che guardi i log o usi netstat, last o w :
Me lo immaginavo!!
Vi ringrazio dell'aiuto che mi avete dato.
--
Kishar

 verificato con l'MD5 che non fossero compromessi.
Ricorda che quelli sono i file che sono stati installati dal rootkit per
implementare il numero minimo di modifiche necessarie al suo setup e per
permettere il mascheramento e l'accesso alla macchina. Chi ha fatto quel
lavoretto poi potrebbe avere fatto altre modifiche per potersi garantire
altre vie di accesso in caso di "disguidi".
Buona fortuna
Fabio

 Buona fortuna
Ne avrò bisogno.
--
Kishar