Newsgroup: it.lavoro.informatica
Titolo: Dolore & raccapriccio

Oggi credo di aver stabilito un record da Guinness dei Primati.
Mi chiama il capo, dicendo che il server web (Windows 2000) è andato giù di
nuovo. Siccome quella macchina aveva sempre avuto dei problemi (ahimé, ce
l'ho in cura solo da un paio di settimane, non l'ho messa su io), decido di
dargli una buona controllata.
Trovo innanzitutto una miriade di servizi del tutto inutili: dhcp e dns
installati e non configurati, servizi Windows Media che stanno lì solo a
fare scena, servizi di installazione remota, protocollo AppleTalk (non c'è
un Mac nel raggio di dieci chilometri), Network Monitor, QoS, chi più ne ha
più ne metta. Ricordo che la macchina fa solo da server web, il server della
LAN è un altro (un altro caso patologico, ma sorvoliamo...). Ok,
evidentemente il vecchio sysadmin era un fanatico del tipo "se c'è lo
installo", mi metto lì e faccio piazza pulita... anche se ogni tanto Windows
protesta perché qualche file non è come dovrebbe essere; solo dopo avrei
capito cosa voleva dire...
Ok, a questo punto spulcio l'elenco dei programmi installati e ci trovo i
resti di due server FTP parzialmente disinstallati, più un terzo attivo
(oltre a quello di IIS), un antivirus e un personal firewall. Da notare che
la macchina è dietro un firewall con Linux... il quale è configurato come un
semplice router, non blocca nemmeno una singola porta. Vabbé, sorvoliamo,
tanto sto montando i server nuovi... piallo un po' di programmi inutili, e
inizio a dedicarmi al discorso patch.
Trovo il sistema con sopra IE5 e il Service Pack 3, e capisco che la cosa è
seria. Inizio a mettere su il SP4, e mi sento dire "impossibile accedere a
NTDLL.DLL, probabilmente è in uso da un altro programma". Spavento...
controllo i processi in esecuzione, e ne trovo quattro o cinque che mi
ispirano ben poca fiducia. Do' un 'occhiata a log, e trovo lamentele di
servizi (mai sentiti nominare!) che non riescono a partire. Nel tentativo di
capirci qualcosa disinstallo tutto tranne lo stretto necessario (IIS e SQL
Server 7 che usano alcuni siti), e quei processi sono ancora là. Ok, metto
mano alla lista dei servizi... e trovo almeno tre trojan camuffati con nomi
altisonanti tipo "questo servizio fornisce comunicazioni di rete sicure e
protette", oltre a due bellissimi eseguibili nella cartella C:\WINNT\Fonts
(!!!). Piallo senza pietà i servizi estranei attraverso il registro, e mi
dedico al disco... e trovo i log (!) di un paio di trojan che stavano lì a
fare da file repository per l'hacker di turno. Trovo file altrui in
C:\System Volume Information (e chi li vedeva, lì ha accesso solo System),
piallo anche quelli. Un'ecatombe... e il bello di tutto ciò è che il Norton
Antivirus installato e autoaggiornantesi non si era accorto di nulla.
Vabbé...
Inizio con le patch, metto su il SP4... e di nuovo "impossibile accedere a
NTDLL.DLL". Incuriosito controllo i permessi... e scopro che le
autorizzazioni di default su quel file sono state piallate e sostituite con
full control a tutti gli utenti web (non ricordo il nome del gruppo,
qualcosa di simile). Ulteriore panico... resetto i permessi e finalmente il
service pack si installa. Speriamo abbia sovrascritto tutti i file
manipolati...
Ultimi passaggi, IE6, un sano Windows Update e via, e già che ci sono anche
il SP4 di SQL Server 7 (che ovviamente nessuno aveva installato).
Ora la macchina è su e funziona, peccato che nel frattempo sia morto il DC,
per una serie di motivi sostanzialmente analoghi, uniti al colpo di grazia
mollatogli dal worm più popolare al momento :-(
Ci credo che a quella *capra* del vecchio sistemista non gli hanno rinnovato
il contratto...
Massimo

 rinnovato il contratto...
Chiamarlo "sistemista" è già troppo.

Chiamarlo "sistemista" è già troppo.
Ma scommetto che prendeva piu' di Massimo ed era maggiormente
considerato.
Scommetto che Massimo e' stato preso perche' costava poco.
 :-(
C'ya
	Steve
-- 
"Ogni tecnologia sufficientemente avanzata è indistinguibile dalla magia"
Arthur C. Clarke
it.tlc.telefonia.isdn FAQ  -> 
http://www.sistemista.com
Bus S/NT/NT1+/TE/TA Faq    -> 
http://busSfaq.cjb.net
sxbo...@supereva.it
 - remove the x to write me

 Scommetto che Massimo e' stato preso perche' costava poco.
Qui invece pare che purtroppo ci siamo :-/
Massimo

 ha scritto nel messaggio
news:bhr8m2$1oen$1...@newsreader2.mclink.it...
[cutto]
io in una situazione del genere sarei partito da 0 ... sai quanti hook su
dll hai ingiro ... quanti key logger ... il norton non funzionera' perche'
lo avranno bello che sputtanato tutto ...
non per dire ma lascierei su quella macchina 1 settimana ancora intanto che
mi configuro un gemello che prendera' il suo posto al volo appena possibile,
e poi quella macchina la denuclarizzerei per bene ...
poi prima cosa cambia gli user space di iis e dei servizi che fai girare ...
non lasciarli di standard su system ameno che non funzionino solo cosi' ...
mi stupisco che un win2000 sia durato tanto cosi' con su quelle porcate ...
lo riavviavano percasa tutti i giorni o anche un paio di volte ???
ciao

 lo riavviavano percasa tutti i giorni o anche un paio di volte ???
Bravo... esattamente :-(
Massimo

 Esattamente quello che sto facendo ..
Ed infatti mi stavo meravigliando che trovando la situazione descritta
non avessi pensato di spianare il tutto. In ogni caso ti suggerisco di
scrivere una relazione su quello che hai trovato ..
-- 
ale
http://www.sen.it

 
Aggiungerei documentazione tratta almeno dal sito microsoft [descrizione
delle patch non applicate e degli exploit che le patch avrebbero tappato
se fossero state applicate], una breve digressione sul worm msblast [non
ci sono problemi a trovare documentazione], e gia' che ci sei segna pure
che il patching regolare della macchina prende una decina di minuti alla
settimana al massimo, mentre questo lavoro di "recupero" ha portato alla
forzatura di un blocco del sistema, hai perso ore senza preavviso ne' la
possibilita' di gestire tu i tempi eccetera.
Quando vedono che una procedura regolare fa risparmiare tempo, puo' dare
una stabilita' maggiore, continuita' del servizio eccetera, capiscono.
-- 
   => Don't Let Your Fears Stand in The Way of Your Dreams !!! <=
 
http://www.delymyth.net/
 ~~ 
http://www.delymyth.net/DElyMyth.asc
 ICQ: 8761263 - MSN: 
dely...@msn.com
 E-Mail: 
DEly...@delymyth.net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=