[Backdoor]Linux/Cyrax.B

[acq]

Op de hdd van m'n workstation staat een zipfile van de /bin dir van m'n Linux server. Bij een reguliere virusscan, begon mijn virusscanner (Norman Virus Control) te mieren dat er een backdoor gevonden was: "m:\bin.zip : echo Backdoor: Linux/Cyrax.B". Op de Norman site staat dit inderdaad genoemd, maar geen uitleg en op symantec is hierover ook niets te vinden. Met Google bleek het hier te gaan om een hijacking tooltje, waar ik weinig van begrepen heb qua werking.

De heren van Norman adviseren om "deze backdoor te verwijderen, aangezien hij op onze site staat en dus wel gevaarlijk zal zijn". Echter hoe ie verwijderd moet worden van de server staat er niet bij natuurlijk

Kent iemand deze backdoor of is dit kul? En hoe vind en verwijder ik hem. Server is een SuSE 7.3 installatie.

[acq]

^ Niemand bekend mee?

[Han]

--> [forum=23]

[GeeMoney]

Op vrijdag 31 mei 2002 16:26 schreef acq het volgende:
^ Niemand bekend mee?

file verwijderen
rm -rf <filenaam>

echter op eigen risico

[Verwijderd]

Download de chkrootkit en controlleer of je machine niet geroot is. Zo ja dan raad ik aan de complete machine te reinstallen, de kans dat de hacker ergens nog een backdoor heeft achtergelaten is altijd mogelijk. Wel ff al je data backuppen, maar dat moet je zowiezo altijd doen. Kijk ook meteen hoe de hacker in je machine heeft kunnen inbreken, uiteraard alle security packages installen en goed beveiligen (alles uitzetten wat je niet nodig hebt).

[acq]

File verwijderen is leuk bedacht, maar als je er geen files van kunt vinden...

Chrootkit: bedankt, ga ik mee bezig. Ik vat er echter nog steeds niets van. Kwam erachter dat die zip al 5 maand oud is ofzo (ooit eens mee zitten klooien). Dataverkeer is echter niet toegenomen ofzo, dus erg wazig. Ben benieuwd wat er uit komt.

[acq]

De output:

code:

acq-highlander:/home/marc/chkrootkit-0.35 # ./chkrootkit
ROOTDIR is `/'
Checking `amd'... not found
Checking `basename'... not infected
Checking `biff'... not found
Checking `chfn'... not infected
Checking `chsh'... not infected
Checking `cron'... not infected
Checking `date'... not infected
Checking `du'... not infected
Checking `dirname'... not infected
Checking `echo'... not infected
Checking `egrep'... not infected
Checking `env'... not infected
Checking `find'... not infected
Checking `fingerd'... not infected
Checking `gpm'... not infected
Checking `grep'... not infected
Checking `hdparm'... not infected
Checking `su'... not infected
Checking `ifconfig'... not infected
Checking `inetd'... not infected
Checking `inetdconf'... not infected
Checking `identd'... not infected
Checking `killall'... not infected
Checking `ldsopreload'... not infected
Checking `login'... not infected
Checking `ls'... not infected
Checking `lsof'... not infected
Checking `mail'... not infected
Checking `mingetty'... not infected
Checking `netstat'... not infected
Checking `named'... not infected
Checking `passwd'... not infected
Checking `pidof'... not infected
Checking `pop2'... not found
Checking `pop3'... not found
Checking `ps'... not infected
Checking `pstree'... not infected
Checking `rpcinfo'... not infected
Checking `rlogind'... not infected
Checking `rshd'... not infected
Checking `slogin'... not infected
Checking `sendmail'... not infected
Checking `sshd'... not infected
Checking `syslogd'... not infected
Checking `tar'... not infected
Checking `tcpd'... not infected
Checking `top'... not infected
Checking `telnetd'... not infected
Checking `timed'... not found
Checking `traceroute'... not infected
Checking `write'... not infected
Checking `aliens'... no suspect files
Searching for sniffer's logs, it may take a while... nothing found
Searching for HiDrootkit's default dir... nothing found
Searching for t0rn's default files and dirs... nothing found
Searching for t0rn's v8 defaults... nothing found
Searching for Lion Worm default files and dirs... nothing found
Searching for RSHA's default files and dir... nothing found
Searching for RH-Sharpe's default files... nothing found
Searching for Ambient's rootkit (ark) default files and dirs... nothing
found
Searching for suspicious files and dirs, it may take a while...
/usr/lib/perl5/5.6.1/i586-linux/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Storable/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Tk/.packlist /usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Tk/GBARR/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Locale/gettext/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Digest/MD5/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/HTML/Parser/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/MIME/Base64/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/U
RI/.packlist 
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Net/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/libwww-perl/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Term/ReadLine/Gnu/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/w3mir/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Weblint/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/IO/Stty/.packlist 
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/IO/Tty/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Expect/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Cyrus/IMAP/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Cyrus/SIEVE/acap/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Cyrus/SIEVE/managesieve/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/DBI/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Data/ShowTable/.packlist
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/Msql-Mysql-modules/.packlist 
/usr/lib/perl5/site_perl/5.6.1/i586-linux/auto/SNMP/.packlist
/usr/lib/jdk1.1.8/bin/.java_wrapper
/usr/lib/jdk1.1.8/bin/i686/green_threads/.extract_args 
/usr/lib/jdk1.1.8/bin/i686/native_threads/.extract_args

Searching for LPD Worm files and dirs... nothing found
Searching for Ramen Worm files and dirs... nothing found
Searching for Maniac files and dirs... nothing found
Searching for RK17 files and dirs... nothing found
Searching for Ducoci rootkit... nothing found
Searching for Adore Worm... nothing found
Searching for ShitC Worm... nothing found
Searching for Omega Worm... nothing found
Searching for Sadmind/IIS Worm... nothing found
Searching for MonKit... nothing found
Searching for anomalies in shell history files... nothing found
Checking `asp'... not infected
Checking `bindshell'... not infected
Checking `lkm'... nothing detected
Checking `rexedcs'... not found
Checking `sniffer'...
eth0 is not promisc
eth1 is not promisc
ppp0 is not promisc
Checking `wted'... nothing deleted
Checking `z2'...
nothing deleted
acq-highlander:/home/marc/chkrootkit-0.35 #
acq-highlander:/home/marc/chkrootkit-0.35 #

Wat ie er allemaal uit spuugt bij: "Searching for suspicious files and dirs, it may take a while...", wordt ik niet zo vrolijk van. Zijn die files geinfecteerd? Bij een vriend van me hebben we dit ook uitgevoerd en daar kwam ie ook met Perl aan.

[Verwijderd]

hij zal dat wel reporten omdat er die .packlist files staan.... wat staat daar in ?

[acq]

Op vrijdag 31 mei 2002 20:27 schreef Felix het volgende:
hij zal dat wel reporten omdat er die .packlist files staan.... wat staat daar in ?

Kort fragmentje:

code:

/usr/bin/a2p type=file
/usr/bin/c2ph type=file
/usr/bin/dprofpp type=file
/usr/bin/find2perl type=file
/usr/bin/h2ph type=file
/usr/bin/h2xs type=file
/usr/bin/perl from=/usr/bin/perl5.6.1 type=link
/usr/bin/perl5.6.1 type=file
/usr/bin/perlbug type=file
/usr/bin/perlcc type=file
/usr/bin/perldoc type=file
/usr/bin/pl2pm type=file
/usr/bin/pod2html type=file
/usr/bin/pod2latex type=file
/usr/bin/pod2man type=file
/usr/bin/pod2text type=file
/usr/bin/pod2usage type=file

Weinig bijzonders dus denk ik

[Verwijderd]

Als chkchrootkit geen errors geeft heeft je systeem dus geen rootkit geinstalled. De .packist files zijn trouwens normaal.

Een eventuele hacker kan natuurlijk op vele andere manieren een backdoor inbouwen, ik neem aan dat je al gekeken hebt of er speciale deamons draaien en of er geen vage poorten open staan? Je wachtwoorden zijn natuurlijk niet aangepast en er zijn ook geen nieuwe users bijgekomen? Is dat ook niet het geval dan is de virusscanner gewoon fout, mcafee gaf ook altijd aan dat er virussen in de kernel .tar.gz zaten.. yeh right

Wat je zowiezo altijd moet doen (ook als je geen problemen hebt) is backups maken en securitypatches installen.

[acq]

Op vrijdag 31 mei 2002 23:57 schreef wkamphuis het volgende:
Als chkchrootkit geen errors geeft heeft je systeem dus geen rootkit geinstalled. De .packist files zijn trouwens normaal.

Een eventuele hacker kan natuurlijk op vele andere manieren een backdoor inbouwen, ik neem aan dat je al gekeken hebt of er speciale deamons draaien en of er geen vage poorten open staan? Je wachtwoorden zijn natuurlijk niet aangepast en er zijn ook geen nieuwe users bijgekomen? Is dat ook niet het geval dan is de virusscanner gewoon fout, mcafee gaf ook altijd aan dat er virussen in de kernel .tar.gz zaten.. yeh right

Wat je zowiezo altijd moet doen (ook als je geen problemen hebt) is backups maken en securitypatches installen.

* Wachtwoorden niet aangepast
* Geen nieuwe users bijgekomen
* Geen vage poorten los
* Geen speciale deamons

Moet dan haast een fout zijn van de virusscanner


Enige (in mijn ogen) vreemde processen zijn nscd, maar na wat zoekwerk bleken dat normale deamons Waarom ze beiden een paar keer voorkomen als proces lisa als: "[lisa <defunct>]" staat, vat ik dan weer niet, maar lijkt me niet zo'n probleem.

Bedankt!

[a casema user]

Bij mij gaf mcafee altijd aan dat er een 'onbekend' virus in alle versies van mysql zat.
yeah right.
Ik denk dat je het af en toe niet al te serieus moet opvatten.