Newsgroup: it.comp.sicurezza.unix
Titolo: hacker maldestro...

Ho un problema per il quale mi piacerebbe avere dei consigli dal
newsgroup.
Abbiamo avuto da Pasquetta un hacker che tutte le notti si connetteva ad
un PC Linux e poi, prima di uscire, cancellava tutta la directory log
oltre ad altri file generando, fra le altre cose, una grande confusione.
Finalmente oggi abbiamo provato a rendergli la vita un po' più difficile
ed infatti il tipo si è rifatto vivo provando ad entrare come root. Non
ce l'ha fatta, fortunamente, ed ora abbiamo l'IP address della sua
macchina. Sembrerebbe essere un altro linux.
Voi cosa consigliereste di fare a questo punto?
Grazie,
    Stefano

 Voi cosa consigliereste di fare a questo punto?
Lasciare perdere.
reboot -cdrom installazione - password root nuova e meno facile -no
telnet,ftp,rpc* - firewall ...

 wrote in message
news:3ADDE85E...@merate.mi.astro.it...


reinstallare.
e perche' reinstallare tutto??? basta ricompilare da dei sorgenti
"nuovi" il kernel ...

"nuovi" il kernel ...
Perché non puoi mai sapere cosa ti ha realmente combinato l'hacker:
potrebbe averti installato binari maligni e attivato cronjob nascosti
che ripristinano immediatamente una backdoor di accesso.
Purtroppo quando ti rootano il server, l'*unica* soluzione è un bel
mkfs.ext2 /dev/quelcheè...
-- 
Massimo Bacilieri AKA Crononauta ______________________
========================|  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 
IDAnet: 
http://adcserver1.biodip.unimi.it/IDA/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

 mkfs.ext2 /dev/quelcheè...
NOOO, magari ti ha hackerato mkfs, che ti formatta il disco lasciando una
partizione nascosta che quando reinstalli tutto, si autoespande, e si
copia in quella nuova, rimettendo unkernel bacato, con dei binari
hackerati, che ti aprono una backdoor intelligente che si chiude quando
tu ti colleghi.....io non lo farei...
..sai fidarsi è bene...ma non fidarsi...

partizione nascosta 
Aho, mica mkfs.ext2 da QUEL sistema!!! Monti l'hd su un filesystem
pulito e vai di formattazione. O anche usando il cd della
distribuzione, bootando dal cd stesso.
Era implicito che andava fatto da un sistema pulito!!!!
:-)


 un sistema, lo avra` spooffato da qualche parte.
Se l'ip e` stato preso durante la connessione e` quello buono. Un ip
spoofato si puo` usare per un DoS o per sfruttare debolezze di un
firewall, non per loggarsi (almeno non con linux). Esiste ovviamente la
possibilita` che abbia usato un proxy...
ciao
Kronos
-- 
Home: 
http://kronoz.cjb.net
Se il  destino di un uomo  e` annegare, anneghera` anche  in un bicchier
d'acqua.
Proverbio yddish

 :-)
nessun sistema è pulito...

 Scusate l'intrusione ma si fa interessante...In che senso compromesso?
Bios-virus...cercali in giro...
www.google.com

nessun sistema è pulito...
Sbagliato: 4 ore di immersione in acqua e detersivo, rimuovono qualsiasi
traccia di virus dall'hard disk.
:-)
-- 
Massimo Bacilieri AKA Crononauta ______________________
========================|  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 
IDAnet: 
http://adcserver1.biodip.unimi.it/ida/index.html
GP Legends: 
http://www.multiplayer.it/driving/index.html

 :-)
Sbagliato, a basse temperature hai ancora virus in circolo...

Sbagliato, a basse temperature hai ancora virus in circolo...
No, perché io candeggio profumato :-bbbbbbbb
-- 
Massimo Bacilieri AKA Crononauta ______________________
========================|  togli 'sse' dall'indirizzo  | 
ICQ UIN: 4005815        |  per rispondermi in  e-mail  | 


 wrote in message
news:9bmqg1$1kb$5...@dreamland.darkstar.net...


No, perché io candeggio profumato :-bbbbbbbb
..... mi raccomando usa Perlana ... cosi torna come nuovo ......

Vi ringrazio per i vari suggerimenti.
Allo spiritosone che commentava la faccenda dei tre giorni fra Pasquetta ed il
19 faccio notare che č talvolta la gente va in vacanza... e che anche se sei in
vacanza in un istituto di ricerca non č semplicemente pensabile di inibire gli
accessi esterni per n-giorni.
Per il resto ovviamente abbiamo reinstallato tutto da un sistema pulito.
La richiesta di suggerimento riguardava proprio cosa fare riguardo all'IP
address della macchina in intrusione. Confermo che non č un proxy o cose del
genere, ma proprio una macchina alla quale, volendo, potremmo loggarci e
rendere pan per focaccia (sarebbe un'idea...).
Comunque abbiamo provveduto a segnalare la cosa nella maniera piů opportuna.
      Stefano


Sono spirotoso, e fin qui va bene, ma tu sei serio, e questo è tragico, soprattuo
per il tuo datore di lavoro.
Ciao

 mkfs.ext2 /dev/quelcheè...
beh, a volte tripwire aiuta! magari il format lo fai lo stesso (io lo
faccio), ma per lo meno sai che cosa ha cambiato l'intruso
-- 
  _     _                                  _ 
 (_)   | |                                | |
  _____| |  ___   ____    ____  _____   __| |
 |  _   _) / _ \ |  _ \  / ___)(____ | / _  |
 | |  \ \ | |_| || | | || |    / ___ |( (_| |
 |_|   \_) \___/ |_| |_||_|    \_____| \____|
Windows NT crashed.
I am the Blue Screen of Death.
No one hears your screams.

 Sciaooooooo
Hai proprio ragione, è uno sporco lavoro!!!!
Ma qualcuno lo deve pur fare.....

 fare.....
Per fortuna ci si puo' auto-upgradare a BOFH, come il buon D'Itri sa
bene...
Cris. a volte BOFH
P.S. non e' sprecato un cosi' bel dominio per un MX-only?

Bios-virus...cercali in giro...
www.google.com
Beh, mica questa gran novita', mi sembrano anni che e' in giro CIH.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 Beh, mica questa gran novita', mi sembrano anni che e' in giro CIH.
Benissimo... ma chi ha parlato di novità??



Nessuno, la stanchezza mi ha portato a pensare che avessi trovato
davvero notizie di un nuovo virus che riuscisse a infettare il bios,
restando attivo li' dentro.
Dato che un paio d'anni fa, erano uscite delle MOBO con un bello
spazio-user nella flash, mi cominciavo a preoccupare.
A volte, rimpiango i nastri perforati. Difficilini, da infettare con un
virus.


Secondo me spari una marea di cazzate
--------------------------------
Inviato via 
http://usenet.iol.it