Ben ik gehackt?

[Verwijderd]

wie kent dit?
[root@dombo .puta]# pwd
/usr/src/.puta
[root@dombo .puta]# ls
bindpar system t0rnp t0rnsb t0rnstatdx
patch t0rnmf t0rns t0rnscan t0rnwuftpd
[root@dombo .puta]#
en alle user wachtwoorden om in te loggen zijn gelijk aan het root password behalve via bv ftp dan moeten ze hun eigen naam gebruiken.
in:
/usr/src/.puta/system
lijkt het wel of alle toetsaanslagen zijn gelogd ken iemand deze symptonen?
misschien de redhat worm?

[Jordi]

Dat durf ik niet ze zeggen (nooit gezien), maar dat die 1337sp33ch erin staat in combinatie met BIND en WU-FTPD (2 grote security draken), vind ik ERG verdacht. Ik heb zelf echt geen .puta, nooit gezien. Dat het met een . begint in /usr/src vind ik ook al een kwalijke zaak (hidden bij gewone ls)
Alle passwords gelijk aan het rootpass? Ik zou me maar es flink achter de oren krabben... foute boel als je het mij vraagt.

[Verwijderd]

Ja maar als ik nou de schade wil herstellen hoe ga ik dan te werk?
ik heb de mogelijkheid niet om alles eraf te gooien.

Of is dit misschien de redhat ramen worm???

[xoror]

puta == hoer.

t0rn is een root kit.
je bent geroot.

[leander]

Denk niet dat het ramen is.
Run ff het volgende script (checkt of je ramen hebt...)

code:

#!/bin/perl -w
# Script that checks for signs of ramen infection
# Patrick Oonk, [e-mail]
# based on Daniel Martin's description at 
# http://www.securityfocus.com/archive/75/156624
# No guarantees, do with this script whatever you like (BSD license)

$detected = 0;

print "Ramen worm checker.\nChecking...\n";
open(F,"/etc/redhat-release") ;
print "You are running ",<F>,"\n";;    
close(F);

@suspect = ("/usr/src/.poop", "/usr/src/.poop/ramen.tgz",
        "/tmp/ramen.tgz");

foreach (@suspect) { 
        if(-e) {
                print "found $_\n";
                $detected++;
        }           
}

open(N, "/bin/netstat -an|") or print "Could not open /bin/netstat\n";
while(<N>) {
        if (/:27374.*LISTEN/) {
                print "Ramen webserver detected on port 27374\n";
                $detected++;
                last;
        }
}
close(N);

if ($detected) {
        print "$detected telltale signs of ramen found. Get professional 
help\n";
} else {
        print "Wheee! No ramen signs found!\n";
}

[Verwijderd]

oke das dus duiderlijk ik ben geroot maarnu bestaat er iets om dit terug te keren
ik ben niet permanent online dus.. misschien hebben ze wijnig kunnen doen aangezien ik niet vaak langer dan een uur online ben.
zou er in de logfiles iets staan van wie? waar moet ik dan zoeken.
waar kan ik info vinden over t0rn zodat ik weet wat ie doet en eventueel handmatig kan terug draaien en wat ik moet doen om het in vervolg te verkomen

ik heb alle processen:
ongeveer 20
lpsched
gekilld

[xoror]

http://www.cert.org/nav/recovering.html

waar het op neerkomt is een reinstall....

[Verwijderd]

Kijk, nou ondervind je het zlef eens: veel mensen maken er gebruik van. Je systeem staat open-> dat wordt gescanned. Er maakt iemand wat nieuwe dirs aan, met bizarre namen (als ze het goed doen, ontdek je het nooit) en daarin knallen mensen de nieuwste ISO's en Filmz. Vervolgens posten ze jouw ip op een FXP board, om vervolgens een 1000 man op je pc los te laten die de boel er weer aftrekken. Das een effectief verspreidingsmiddel he? Het gebeurt heel vaak, en vooral bij grote bedrijven met veel bandbreedte. Het is lullig als je het hebt, maar aan de andere kant, de leechers hebben weer een mooie film. Je maakt veel mensen blij, zal ik maar zeggen. Wat je er tegen doet-> gewoon ff alles dicht gooien, voor een weekje of 2, dan is het weer rustig, en geen ano login, of simpel te kragen pwz

Good luck

(een leecher)

[Verwijderd]

All your computer are belong to me
/flamebait

[bbrother]

moewahaha
Je bent inderdaat geroot, wij gebruikten altijd t0rnkit als rootkit (omgebouwd) en dat .puta is een rootkit (zelf niet gebruikt)

Dus instaleer linux maar opnieuw en gooie wat poortjes dicht like: 53 111 21 23 en als je remote wilt inlogen use dan SSH (22)

[Verwijderd]

Mar 9 16:04:49 dombo rpc.statd[367]: gethostbyname error for ^X÷ÿ¿^X÷ÿ¿^Y÷ÿ¿^Y÷ÿ¿^Z÷ÿ¿^Z÷ÿ¿^[÷ÿ¿^[÷ÿ¿bffff750
8049710 8052c18687465676274736f6d616e797265206520726f7220726f66

bffff718
bffff719 bffff7
1a
bffff71b

wie kent deze log file entry

[xoror]

http://www.kb.cert.org/vuls/id/34043

lijkt op rpc.stad buffer overflow..

paste hehe log entry anders ? zie je ergens /bin/sh oid staan ? of andere shell

[Verwijderd]

lijkt op rpc.stad buffer overflow..

wat is rpc.stad????

[ice18]

:)Ja je bent eerder gehakt.....:)
:)Moe kijk ook uit voo MKZ

[Verwijderd]

Mar 9 15:04:49 dombo ifup-ppp: pppd started for ppp0 on /dev/ttyS1 at 115200
Mar 9 15:04:49 dombo kernel: CSLIP: code copyright 1989 Regents of the University of California
Mar 9 15:04:49 dombo kernel: PPP: version 2.3.7 (demand dialling)
Mar 9 15:04:49 dombo kernel: PPP line discipline registered.
Mar 9 15:04:49 dombo insmod: Note: /etc/conf.modules is more recent than /lib/modules/2.2.14-5.0/modules.dep
Mar 9 15:04:49 dombo kernel: registered device ppp0
Mar 9 15:04:49 dombo pppd[14611]: pppd 2.3.11 started by root, uid 0
Mar 9 15:04:50 dombo chat[14621]: abort on (BUSY)
Mar 9 15:04:50 dombo chat[14621]: abort on (ERROR)
Mar 9 15:04:50 dombo chat[14621]: abort on (NO CARRIER)
Mar 9 15:04:50 dombo chat[14621]: abort on (NO DIALTONE)
Mar 9 15:04:50 dombo chat[14621]: abort on (Invalid Login)
Mar 9 15:04:50 dombo chat[14621]: abort on (Login incorrect)
Mar 9 15:04:50 dombo chat[14621]: send (ATZ^M)
Mar 9 15:04:50 dombo chat[14621]: expect (OK)
Mar 9 15:04:51 dombo chat[14621]: ATZ^M^M
Mar 9 15:04:51 dombo chat[14621]: OK
Mar 9 15:04:51 dombo chat[14621]: -- got it
Mar 9 15:04:51 dombo chat[14621]: send (ATDT0315399240^M)
Mar 9 15:04:51 dombo chat[14621]: expect (CONNECT)
Mar 9 15:04:51 dombo chat[14621]: ^M
Mar 9 15:05:18 dombo chat[14621]: ATDT0315399240^M^M
Mar 9 15:05:18 dombo chat[14621]: CONNECT
Mar 9 15:05:18 dombo chat[14621]: -- got it
Mar 9 15:05:18 dombo chat[14621]: send (^M)
Mar 9 15:05:18 dombo chat[14621]: timeout set to 5 seconds
Mar 9 15:05:18 dombo chat[14621]: expect (~)
Mar 9 15:05:18 dombo chat[14621]: 115200^M
Mar 9 15:05:23 dombo chat[14621]: alarm
Mar 9 15:05:23 dombo chat[14621]: send (^M)
Mar 9 15:05:23 dombo chat[14621]: send (^M)
Mar 9 15:05:23 dombo pppd[14611]: Serial connection established.
Mar 9 15:05:23 dombo pppd[14611]: Using interface ppp0
Mar 9 15:05:23 dombo pppd[14611]: Connect: ppp0 <--> /dev/ttyS1
Mar 9 15:05:28 dombo kernel: PPP BSD Compression module registered
Mar 9 15:05:28 dombo insmod: Note: /etc/conf.modules is more recent than /lib/modules/2.2.14-5.0/modules.dep
Mar 9 15:05:28 dombo kernel: PPP Deflate Compression module registered
Mar 9 15:05:28 dombo insmod: Note: /etc/conf.modules is more recent than /lib/modules/2.2.14-5.0/modules.dep
Mar 9 15:05:28 dombo pppd[14611]: local IP address 62.251.59.17
Mar 9 15:05:28 dombo pppd[14611]: remote IP address 193.172.250.26
Mar 9 15:05:28 dombo pppd[14611]: primary DNS address 62.251.0.6
Mar 9 15:05:28 dombo pppd[14611]: secondary DNS address 62.251.0.7
Mar 9 15:08:39 dombo PAM_pwdb[14676]: (su) session opened for user mailer by jakman(uid=0)
Mar 9 15:45:45 dombo PAM_pwdb[14676]: (su) session closed for user mailer
Mar 9 16:04:49 dombo rpc.statd[367]: gethostbyname error for ^X÷ÿ¿^X÷ÿ¿^Y÷ÿ¿^Y÷ÿ¿^Z÷ÿ¿^Z÷ÿ¿^[÷ÿ¿^[÷ÿ¿bffff750 8049710 8052c18687465676274736f6d616e797265206520726f7220726f66 bffff718 bffff719 bffff71a bffff71b
Mar 9 16:06:37 dombo useradd[15005]: new user: name=cgi, uid=0, gid=0, home=/home/cgi, shell=/bin/bash
Mar 9 16:06:51 dombo PAM_pwdb[15006]: password for (cgi/0) changed by ((null)/0)
Mar 9 16:07:06 dombo PAM_pwdb[15007]: password for (operator/11) changed by ((null)/0)
Mar 9 16:12:25 dombo login: FAILED LOGIN 1 FROM a4204.upc-a.chello.nl FOR operator, Authentication failure
Mar 9 16:12:41 dombo login: FAILED LOGIN 2 FROM a4204.upc-a.chello.nl FOR operator, Authentication failure
Mar 9 16:12:45 dombo PAM-securetty[15047]: Error opening /etc/securetty
Mar 9 16:12:50 dombo inetd[493]: pid 15046: exit status 1
Mar 9 16:12:58 dombo PAM-securetty[15061]: Error opening /etc/securetty
Mar 9 16:13:03 dombo login[15061]: FAILED LOGIN SESSION FROM a4204.upc-a.chello.nl FOR cgi, Error in service module
Mar 9 16:13:03 dombo inetd[493]: pid 15060: exit status 1
Mar 9 16:13:55 dombo useradd[15071]: new group: name=mu, gid=520
Mar 9 16:13:55 dombo useradd[15071]: new user: name=mu, uid=520, gid=520, home=/home/mu, shell=/bin/bash
Mar 9 16:14:12 dombo PAM_pwdb[15074]: password for (mu/520) changed by ((null)/0)
Mar 9 16:14:30 dombo login: FAILED LOGIN 1 FROM a4204.upc-a.chello.nl FOR mu, Authentication failure
Mar 9 16:14:40 dombo login: FAILED LOGIN 2 FROM a4204.upc-a.chello.nl FOR mu, Authentication failure
Mar 9 16:14:43 dombo PAM_pwdb[15079]: check pass; user unknown
Mar 9 16:14:44 dombo login[15079]: FAILED LOGIN 3 FROM a4204.upc-a.chello.nl FOR a, User not known to the underlying authentication module
Mar 9 16:14:47 dombo PAM_pwdb[15079]: check pass; user unknown
Mar 9 16:14:48 dombo login[15079]: FAILED LOGIN SESSION FROM a4204.upc-a.chello.nl FOR s, User not known to the underlying authentication module
Mar 9 16:14:48 dombo inetd[493]: pid 15078: exit status 1
Mar 9 16:15:08 dombo pam_rhosts_auth[15083]: denied to [e-mail] as operator: access not allowed
Mar 9 16:15:16 dombo PAM_pwdb[15085]: (login) session opened for user operator by (uid=0)
Mar 9 16:15:43 dombo PAM_pwdb[15107]: (su) session opened for user cgi by operator(uid=11)
Mar 9 16:15:58 dombo userdel[15122]: delete user `mu'
Mar 9 16:15:58 dombo userdel[15122]: remove group `mu'
Mar 9 16:18:12 dombo PAM_pwdb[15144]: password for (operator/11) changed by (operator/0)
Mar 9 16:18:33 dombo useradd[15149]: new group: name=mu, gid=520
Mar 9 16:18:33 dombo useradd[15149]: new user: name=mu, uid=520, gid=520, home=/home/mu, shell=/bin/bash
Mar 9 16:18:44 dombo PAM_pwdb[15150]: password for (mu/520) changed by (operator/0)
Mar 9 16:25:31 dombo kernel: sn1ff uses obsolete (PF_INET,SOCK_PACKET)
Mar 9 16:25:31 dombo kernel: eth0: Setting promiscuous mode.
Mar 9 16:25:31 dombo kernel: device eth0 entered promiscuous mode
Mar 9 16:26:37 dombo PAM_pwdb[15107]: (su) session closed for user cgi
Mar 9 16:26:40 dombo PAM_pwdb[15085]: (login) session closed for user operator
Mar 9 16:28:29 dombo PAM_pwdb[17855]: (su) session opened for user cgi by operator(uid=11)
Mar 9 16:28:37 dombo PAM_pwdb[17855]: (su) session closed for user cgi
Mar 9 16:31:02 dombo PAM_pwdb[13601]: (su) session closed for user root
Mar 9 16:31:03 dombo PAM_pwdb[13533]: (login) session closed for user jakman
Mar 9 16:31:03 dombo inetd[493]: pid 13532: exit status 1
Mar 9 16:41:48 dombo PAM_pwdb[20476]: (login) session opened for user jakman by (uid=0)
Mar 9 16:41:53 dombo PAM_pwdb[20498]: (su) session opened for user root by jakman(uid=500)
Mar 9 16:54:35 dombo pppd[14611]: Terminating on signal 15.
Mar 9 16:54:35 dombo pppd[14611]: Connection terminated.
Mar 9 16:54:35 dombo pppd[14611]: Connect time 109.2 minutes.
Mar 9 16:54:35 dombo pppd[14611]: Sent 12081047 bytes, received 8620573 bytes.
Mar 9 16:54:35 dombo pppd[14611]: Hangup (SIGHUP)
Mar 9 16:54:37 dombo pppd[14611]: Exit.
Mar 9 17:10:01 dombo kernel: PPP: ppp line discipline successfully unregistered
Mar 9 18:35:54 dombo inetd[493]: pid 20475: exit status 1
Mar 9 18:35:54 dombo PAM_pwdb[20498]: (su) session closed for user root

[Bigs]

Wat een rootkit doet is een hoop tooltjes (login, netstat, procps en nog wat meer.. weet niet meer, lang niet gebruikt) vervangen door anderen. De nieuwe login zorgt bijvoorbeeld dat je met een bepaald wachtwoord altijd in kan loggen, de nieuwe netstat laat niet zien dat een if in promiscious (excuse my spelling) mode staat waardoor eventuele draaiende sniffers niet opvallen en de nieuwe ps commando laat processen die beginnen met een bepaalde string niet zien.
Je zou al die progjes weer kunnen vervangen, dan heb je al een deel opgelost misschien. Die passwords zijn echter ook nog een probleem en je weet nooit wat voor backdoors er draaien.
Reinstall is het beste..

[HariZ]

Als jij naar buiten kijkt en je ziet ineens een hek om je mooie tree heen staan die tot in de roots zit vastgeslagen, dan weet jij dat je gehekt bent...

[xoror]

Mar 9 16:04:49 dombo rpc.statd[367]: gethostbyname error for ^X÷ÿ¿^X÷ÿ¿^Y÷ÿ¿^Y÷ÿ¿^Z÷ÿ¿^Z÷ÿ¿^[÷ÿ¿^[÷ÿ¿bffff750 8049710 8052c18687465676274736f6d616e797265206520726f7220726f66 bffff718 bffff719 bffff71a bffff71b
Mar 9 16:06:37 dombo useradd[15005]: new user: name=cgi, uid=0, gid=0, home=/home/cgi, shell=/bin/bash

iemand heeft user geadd met root acces..
en als ik me niet vergis is deze de oorzaak.


Mar 9 16:06:51 dombo PAM_pwdb[15006]: password for (cgi/0) changed by ((null)/0)
Mar 9 16:07:06 dombo PAM_pwdb[15007]: password for (operator/11) changed by ((null)/0)
Mar 9 16:12:25 dombo login: FAILED LOGIN 1 FROM a4204.upc-a.chello.nl FOR operator, Authentication failure
Mar 9 16:12:41 dombo login: FAILED LOGIN 2 FROM a4204.upc-a.chello.nl FOR operator, Authentication failure


is namelijk meteen erna... (in tijd gezien).
ik zou als ik jou was dit doorgeven aan [e-mail] met de log.

een ontzettende lamer is het. overduidelijke logentry laat ie gewoon staan. aangeven die hap

nog ff 1 ding

Mar 9 16:25:31 dombo kernel: sn1ff uses obsolete (PF_INET,SOCK_PACKET)
Mar 9 16:25:31 dombo kernel: eth0: Setting promiscuous mode.
Mar 9 16:25:31 dombo kernel: device eth0 entered promiscuous mode
hij heeft een sniffer lopen installen op je bak. dus al je logins zijn waarschijnlijk gelogged... change al je pwds.

deze gast is niet echt snugger. hij snapt pas na een paar keer dat je niet in mag loggen met uid 0 van niet secure tty. daarom zie je ook al die foute inlog pogingen. uiteindelijk snapt hij het toch. hij add dan de user mu.


Mar 9 16:18:33 dombo useradd[15149]: new group: name=mu, gid=520
Mar 9 16:18:33 dombo useradd[15149]: new user: name=mu, uid=520, gid=520, home=/home/mu, shell=/bin/bash


deze heeft zoals je ziet geen speciale rechten. (uid != 0 en gid != 0) maar hij kan hiermee inloggen en dan su naar root doen. (dat gebeurt ook even later.)

hij heeft een backdoor op je machine geopend die een shell geeft.
dat vermoeden heb ik doordat je inetd ge-restart is. dat is voor dit soort dingen niet ongewoon. jammer dat ik de correcte letters niet kan lezen . nu zie ik alleen blokjes. maar er stond waarschijnlijk zoiets als "voeg een entry toe aan inetd.conf en restart hem".

Best leuk om een lamer te tracen. aangezien alle logs dus nog aanwezig zijn. zoals ik al zei, geef hem in ieder geval aan bij zijn provider. zodat hij anderen niet kan lastig vallen. oh jah hij draait ook leuke homepage.. http://a4204.upc-a.chello.nl

zijn nickname is waarschijnlijk bonecollector... ok ik denk wel dat je genoeg informatie heb.

succes ! en laat weten hoe het afgelopen is.

[Bigs]

Haha, wat een nerd
Handel niet meteen te radicaal, het kan zijn dat zijn bak ook is gehacked [a4204.upc-a.chello.nl]. Meestal werken ze [de kidz] wel zo, zodat ze zelf moeilijker te traceren zijn.

Maar als je kijkt naar de dingen die Xoror hierboven liet zien zal dat wel niet zo zijn.

[alt-92]

Iemand die een link op z'n page neerzet voor z'n Webmin en PHPMyAdmin is of heel zelfverzekerd ofhoud ervan om de kat op het spek te binden.

[Bigs]

Nee, het staat gewoon stoer en interessant op je page ;):P

[Verwijderd]

Ik zou zeker een mailtje sturen met de inhoud van die logfile naar [e-mail] als ik jouw was, maar houdt er wel rekening mee dat het die persoon helemaal niet hoeft te zijn. Er is ook nog zoiets als ip-spoofing.

Het kan er bij mij niet in, dat iemand die Webmin en PHPAdmin gebruikt (deze ook nog eens zo op zijn homepage zet en voor de hele werled open) tot iets dergelijks in staat is.

Oh ja nog een tip voor de volgende keer:
Installeer tripwire!

[alt-92]

Mooi he zo'n uithangbord

[xoror]

Ik zou zeker een mailtje sturen met de inhoud van die logfile naar [e-mail] als ik jouw was, maar houdt er wel rekening mee dat het die persoon helemaal niet hoeft te zijn. Er is ook nog zoiets als ip-spoofing.

ip spoofing kan, MAAR niet als je daadwerkelijk inlogt. je ziet duidelijk dat hij vanaf die host als mu inlogt. (als hij spoofed stuurt de server na een SYN een SYN+ACK naar de verkeerde (gespoofde) host terug, waardoor geen verbinding tot stand kan komen. hier is duidelijk sprake van een verbinding.)

die server kan inderdaad ook gehacked zijn. maar als dat zo is, kan hij het vrij eenvoudig "bewijzen" aan zijn ISP. (gezien de werk methode van deze hacker, blijven de sporen wel achter)

[Verwijderd]

Op woensdag 21 maart 2001 23:35 schreef jakman het volgende:
Ja maar als ik nou de schade wil herstellen hoe ga ik dan te werk?
ik heb de mogelijkheid niet om alles eraf te gooien.

Schade herstellen is heel moeilijk, backup data waarvan je weet dat het niet verneukt is en herinstall en secure je bak. Zonder een herinstall weet je nooit 100 % zeker of je bak secure is (of je moet _al_ het netwerk verkeer gaan analyseren en met een schone linux install de hele hd checken enzow), want progs en libs zijn misschien wel aangepast zodat ze incorrecte output geven, of misschien zijn er zelfs wel kernel modules geladen die hele directories en processen hiden etc. Als je zeker wil weten dat je de achter deur niet openlaat: gooi alles eraf en install opnieuw.

[Verwijderd]

torn is er _heel_ moeilijk af te krijgen, dat kan je vergeten tenzij je echt een dag bezig wilt zijn. in die tijd kan je beter een schone install doen, geeft ook een stuk meer zekerheid.

[DiedX]

Op vrijdag 23 maart 2001 20:59 schreef Paz het volgende:

torn is er _heel_ moeilijk af te krijgen, dat kan je vergeten tenzij je echt een dag bezig wilt zijn. in die tijd kan je beter een schone install doen, geeft ook een stuk meer zekerheid.

Absoluut true...
Check overigens www.chkrootkit.org eens. Dan had je direct antwoord gehad. Succes met het aanhouden dan degene!

[serkoon]

En als je met rpc.statd gehakt wordt loop je wel -heel- erg achter.

Ook met PPP-links dus security bijhouden, ookal ben je 'maar even' online.

[Verwijderd]

Om de een of andere reden gok ik dat het probleem na een maandje wel is opgelost