[XP] Geroot - Hoe?

[DiedX]

Hi there!

Ik zit hier met een redelijk groot probleem. Ik wil net mijn mail na gaan lopen, en de virusscanner gaat compleet uit zijn pan. Blijkt in \windows\system32\winmgnt.exe een ServU daemon te zitten.

Ik pak dus mijn taskmanager erbij, draait Netcat al vrolijk, met 3 commandprompts.

Ik ben vrij paranoide, en draai alle updates netjes. Virusscannertje is up to date. Ik vraag me serieus af hoe ik geroot ben.

Het enige wat ik kan vermoeden is een SQL-Server welke lokaal draait. Mijn vader is Ingenieur met kleppen en explosiebeveiligingen, en had een programma nodig, welke SQL Server 97 (? kan dit?) meeleverde. Ik heb als het goed is de sa wachtwoord veranderd. Kan ik dit nog controleren?

Anyway: formatteren, en backup terugzetten van laatst. Nog goede tips?

[Mike Jarod]

D'r is maar 1 ding wat je blijkbaar niet hebt ... een firewall

[DiedX]

Tsja. Ook die had ik. Alleen moet je dan niet willen leechen met Emule. En voor het gemak maar alle poorten doorzetten...........

Ja. idd. Koom maar, kom maar

Ohja. Dat SA wachtwoord was dus NIET veranderd. En hij draaide als lokale dienst. Shoot me

[ Voor 23% gewijzigd door DiedX op 09-11-2003 21:29 ]

[Verwijderd]

Laatste tijd wat gevallen tegengekomen waarbij user geïnfecteerd was met Backdoor, waarna de bak geroot was.
Firewalls zijn makkelijk te bypassen van binnenuit...

Denk dat dat hier weer het geval is.

Welke AV gebruik je trouwens?

[DiedX]

AV: AntiVir. Omdat het gratis is. (en ook nog redelijk werkt )

Ik vraag me alleen serieus af HOE. Er KUNNEN geen hacks binnenkomen per email, omdat ik de executables niet kan openen (zo'n mooie hack).

Het enige wat ik dus kan vermoeden is SQL Server. Of jij moet, als expert (heb je vaker voorbij zien tikken ) andere ideeen hebben?

[ Voor 6% gewijzigd door DiedX op 09-11-2003 21:37 ]

[Rafe]

DiedX schreef op 09 november 2003 @ 21:28:
Tsja. Ook die had ik. Alleen moet je dan niet willen leechen met Emule. En voor het gemak maar alle poorten doorzetten...........

Alle porten openzetten voor eMule? Met 2 of 3 portmaps (weet ik niet uit mijn hoofd) ben je er al

[simon]

offtopic:
hoe kun je geroot worden als je in windows geen root user hebt?

Het lijkt me eerder dat er een simpele 'backdoor' gebruikt is.. Gewoon een verkeerd .exetje of .batje enz.. die je perongeluk geopend hebt (bijv. mail..)

edit:
Dat heeft imho weinig met de admin rechten te maken, windows is daar gewoon te lek voor

[ Voor 24% gewijzigd door simon op 09-11-2003 21:47 ]

[Wolfboy]

voor emule hoef je toch alleen 4662 tcp en 4672 udp open te zetten?

edit:
Simon: geadministratored klinkt niet

[ Voor 29% gewijzigd door Wolfboy op 09-11-2003 21:45 ]

[DiedX]

Wolfboy schreef op 09 november 2003 @ 21:43:
voor emule hoef je toch alleen 4662 tcp en 4672 udp open te zetten?

Idem voor Rafe: dat is dus precies datgene waarom ik HARD tegen de muur aan loop te bonken met mijn hoofd.

Attachments kan ik niet openen. Verder weet ik niet of iemand nog iets nuttigs toe te voegen heeft. Ik nl niet. Behalve dat ik weer een les erbij geleerd heb:

1. Zet nooit al je poorten door. Gewoon niet doen. Niet doen. Nooit niet. Enz.
2. Vertrouw nooit vertrouwde software. Helemaal niet als er een SQL Server bijgeleverd wordt.

[Verwijderd]

Kun je me winmgnt.exe eens sturen? Even zeker weten dat het een ServU klommel is en niet iets anders.

AntiVir was niet toevallig aan het updaten in de tussentijd?
Het kan natuurlijk ook toeval zijn, dat AntiVir net toen ging loeien, als je IE gebruikt is het niet echt lastig om een backdoor op je bak te zetten.

Daarnaast wordt er graag apart(nieuw) spul gebruikt in deze gevallen, dus echt iets heel zinnigs valt er niet te zeggen..

Zie je verder nog vage processen/files? Mocht je wat tegenkomen, dan mag je dat ook sturen

Daarnaast zou je er bijvoorbeeld nog een virusscanner overheen kunnen halen.
(Don't get me wrong, imo moet je gewoon gaan formatten, maar het is wel handig om te zien hoe en wat).

[alt-92]

Mogelijke attack vectors ? kan van alles wezen.

SQL7 (MSDE waarschijnlijk) is vaak een ongepatchte versie die bij een software pakket wordt bijgeleverd, een SQL-based exploit is dan zo gedaan.
Helemaal als je je poortje 1433 en 1434 (udp niet vergeten) open laat staan...
Helaas wordt nog te vaak dat soort apps als veiligheidsrisico over het hoofd gezien.

[DiedX]

Yup! En normaal ben ik redelijk veiligheid-georienteerd. Ik ga in overleg met mijn vader zijn systeembeheerder, en de leverancier in de VS van A waarschuwen. Dit kan natuurlijk niet. Ik schijn niet de enige met problemen geweest te zijn.

Een screenshot van het geheel (170k) is te vinden op http://diedx.nl/downloads/gehacked.jpg

De logfile van de servu-daemon is te vinden op http://y.nl/x.x
De inhoud van dat bestand komt neer op:

code:

[GLOBAL]
Version=4.1.0.3
ProcessID=4293376627

[DOMAINS]
Domain1=0.0.0.0||666|k-700|1|0

[Domain1]
User1=k-700|1|0

[USER=k-700|1]
Password=gj3D5512A056DAC482464BF26A88E98AB1
HomeDir=c:\
TimeOut=600
Maintenance=System
Access1=C:\|RWAMELCDP

De FTP-ServU daemons heb ik neergezet op:

LET OP! OP EIGEN RISICO!
http://y.y/download/VIRUSES/x.x(500k) en
http://y.y/download/VIRUSES/x.x(2MB)

(waar deze verschillen door komen: geen idee?!)

Een FPort-uitvoer geeft de volgende uitvoer:

code:

C:\Fport-2.0>fport
FPort v2.0 - TCP/IP Process to Port Mapper
Copyright 2000 by Foundstone, Inc.
http://www.foundstone.com

Pid   Process            Port  Proto Path
648   svchost        ->  135   TCP   C:\WINDOWS\system32\svchost.exe
4     System         ->  139   TCP
4     System         ->  445   TCP
672   svchost        ->  1025  TCP   C:\WINDOWS\System32\svchost.exe
4     System         ->  1031  TCP
672   svchost        ->  1685  TCP   C:\WINDOWS\System32\svchost.exe
0     System         ->  2701  TCP
0     System         ->  2708  TCP
0     System         ->  2711  TCP
672   svchost        ->  3389  TCP   C:\WINDOWS\System32\svchost.exe
836                  ->  5000  TCP

0     System         ->  123   UDP
0     System         ->  137   UDP
0     System         ->  138   UDP
648   svchost        ->  445   UDP   C:\WINDOWS\system32\svchost.exe
4     System         ->  500   UDP
672   svchost        ->  1034  UDP   C:\WINDOWS\System32\svchost.exe
4     System         ->  1039  UDP
672   svchost        ->  1040  UDP   C:\WINDOWS\System32\svchost.exe
672   svchost        ->  1041  UDP   C:\WINDOWS\System32\svchost.exe
836                  ->  1042  UDP
4     System         ->  1043  UDP
0     System         ->  1900  UDP
0     System         ->  2229  UDP
0     System         ->  27244 UDP

Ik vertrouw dit niet helemaal. Ik ken niet alle poorten uit mijn hoofd. Wellicht dat Skype hier nog wat in te roeren heeft, maar goed.

Have fun, maar vooral: HARTSTIKKE BEDANKT!


Ik heb je post even gewijzigd - je postte ongewild namelijk een serial van de ftp server

[ Voor 10% gewijzigd door elevator op 10-11-2003 07:56 ]

[Verwijderd]

Het verschil in grootte tussen de files is er omdat de kleinere file (2x) Aspack gepackt is en de andere niet.

KAV: Backdoor.ServU-based

Zal er morgen verder naar kijken, moet nu echt eens gaan slapen.

[Wolfboy]

elevator, je hebt vast ook wel gezien dat in de link naar de servudaemon.ini ook de serial bevat

[Pascal Saul]

Ja of Serv-U is gecompressed met UPX.
Verder klopt de Fport uitvoer, niks raars meer aan.
Als het SQL server account inderdaad SA/[blank] was bestaat er een grote kans dat de scriptkiddie zo is binnen gekomen. Disable ftp.exe en tftp.exe in vervolg en disable Admin shares!

[DiedX]

Ik moest zowiezo formatteren, maar zijn er nog gekke dingen waar ik rekening mee moet houden? Kan ik deze doos nog 2 weken laten staan of niet?

[Shunt]

je gebruikt emule en je vraagt je af waar al die vreemde virusjes tog vandaan komen ?
kom op zeg
voor de grap gister emule + kazaa weer eens er op gegooit
wat mp3 en plaatjes (cd covers gedownload) ik ffe scannen (nogal paranoide )
hopla 20 geinfecteerde bestanden dag daar voor toevallig nog een scan gedaan geen enkel virusje

dit was ook de reden dat ik kazaa en al zijn cloontjes en emule en dat soort zooi niet meer gebruik
alles is geinfecteerd

mijn tip mieter al die kazaa cloontjes er af

[DiedX]

Interessant antwoord, alleen... Ik download MP3's. Geen executables.

[Verwijderd]

DiedX, waarom format? Je kan de backdoor toch ook gewoon uitschakelen?
Heb reeds verschillende mensen met dit soort problemen geholpen.
Kijk ook eens je Services na!
Je mag er zeker van zijn dat de hacker er 1 of 2 bij gezet zal hebben.
Eentje voor zijn netcat en eentje voor serv-u, zodat deze automatisch starten als jij opstart.
Deze services deleten of disablen en erna de poorten toezetten en je bent van die hacker verlost.

[Shunt]

DiedX schreef op 10 november 2003 @ 09:47:
Interessant antwoord, alleen... Ik download MP3's. Geen executables.

jpg's zijn ook geen exe files he
maar ook daar kunnen ze in zitten
gister had ik ook nog een .mp3 bestandje dat gewoon een worm had

[sh4d0wman]

Verwijderd schreef op 10 november 2003 @ 09:50:
DiedX, waarom format? Je kan de backdoor toch ook gewoon uitschakelen?
Heb reeds verschillende mensen met dit soort problemen geholpen.

als je 1 ding vergeet is de hacker weer terug, format is iets veiliger
mocht je een image terug zetten probeer deze dan kritisch na te lopen op zaken waar de cracker gebruik van gemaakt zou kunnen hebben en verhelp deze. (b.v. admin shares e.d.)

[Verwijderd]

gister had ik ook nog een .mp3 bestandje dat gewoon een worm had

Das gewoon een door een virus corrupt gemaakt bestand, naar alle waarschijnlijkheid.

Er is geen enkele Security-Expert die zegt dat het niet nodig is om te formatten na een hack..

[Verwijderd]

sh4d0wman schreef op 10 november 2003 @ 09:58:
[...]
als je 1 ding vergeet is de hacker weer terug, format is iets veiliger

Als je een aantal dingen vergeet op je nieuwe systeem dan zijn ze ook zo weer binnen. Ik ben zelf een systeem en network beheerder (op universiteit), dus ik weet hoe ze het doen en wat ze allemaal proberen. En ik kan je zeggen studenten zijn er een krak in om maar te blijven proberen...

[Verwijderd]

Verwijderd schreef op 10 november 2003 @ 10:01:
[...]
Er is geen enkele Security-Expert die zegt dat het niet nodig is om te formatten na een hack..

En waarom zeggen ze dat? Omdat ze vaak niet weten hoe en langswaar ze zijn binnen gekomen. Wat doe ik? Ik delete wat ik vind en zet een montoring op op de machine die alles logged zowel open poorten als verandering op de HD.
Eenmaal je weet wat ze proberen, dan weet je tenminste wat je moet doen om het tegen te gaan en dan kan je nadien een herinstallatie/format doen maar dan weet je wat je zeker moet aanpassen om ze buiten te houden!

[Verwijderd]

Adviseerde ik de TS dan niet om eens wat na te kijken?
Waarom zou ik dat gevraagd hebben?

[Xenan]

Het geroot zijn hoeft helemaal niet te zijn gebeurd door het klikken op een verkeerd bestandje via mail of emule.

Je draaide SQL server zonder bescherming (doormappen van alle poorten op een firewall is ongeveer hetzelfde als géén firewall). Iemand heeft de SQL server ontdekt en kunnen inloggen als sa; deze had nog het standaard wachtwoord als ik het goed begreep. Daarna is het niet moelijk meer om binnen te komen via wat truukjes. Dit is ook mogelijk met oudere versies van IIS. Hoe die truukjes precies werken ga ik hier niet uit de doeken doen, maar is eenvoudig te vinden (zoek maar eens op "directory traversal", bijvoorbeeld).

Als je hebt geherinstalleerd: zet de firewall weer aan (niet alles doormappen), wachtwoorden wijzigen en niet-nodige accounts uitschakelen (ook het admin account, je maakt een ander account aan met admin rechten) en de SQL server van onder tot boven patchen. Idem natuurlijk het OS en ook IE.
Dan zul je weer redelijk veilig zijn.

Een hardware firewall vind ik wat makkelijker in gebruik, maar een software firewall hoeft niet onveiliger te zijn, mits goed geconfigureerd.

[ Voor 2% gewijzigd door Xenan op 10-11-2003 10:40 . Reden: aanvulling ]

[DiedX]

Dat was precies datgene wat ik van plan was.

Over formatteren:

Het is inderdaad mogelijk om door te gaan zonder formatteren. Alleen: ik ben menselijk. Zoals het nu eruit ziet ben ik weer redelijk veilig (behalve nc.exe wat ik nog weg moet smijten is alles weg).
Ik zit weliswaar met mijn neus in de security, maar niet in de anti-security. Ik weet niet wat die *** geinstalleerd hebben, maar als je weet wat er aan backdoors omgaan, dan vertrouw ik die machine niet.

Vertrouwen moet ik wel kunnen hebben in mijn machines. Ik had het geluk dat ik niet gewerkt heb gister (ben systeembeheerder), want stel je de schade voor als ik via PuTTY was ingelogd, en er liep een keylogger op de achtergrond mee.

Stel je nu voor dat ik NIET formatteer, en ik ga van een vals gevoel van veiligheid uit. Vervolgens log in in, su ik door naar root.... Het enige wat ik NU moet veranderen is mijn mailaccount (portsniffing op poort 110). Dan wordt de schade aanzienlijk anders.

[Sir_Killalot]

Shunt schreef op 10 november 2003 @ 09:39:
je gebruikt emule en je vraagt je af waar al die vreemde virusjes tog vandaan komen ?
kom op zeg
voor de grap gister emule + kazaa weer eens er op gegooit
wat mp3 en plaatjes (cd covers gedownload) ik ffe scannen (nogal paranoide )
hopla 20 geinfecteerde bestanden dag daar voor toevallig nog een scan gedaan geen enkel virusje

dit was ook de reden dat ik kazaa en al zijn cloontjes en emule en dat soort zooi niet meer gebruik
alles is geinfecteerd

mijn tip mieter al die kazaa cloontjes er af

Wat een onzin.

Als jij 20 virussen per dag download met Kazaa moet je toch beter leren zoeken.

[Verwijderd]

Verwijderd schreef op 10 november 2003 @ 10:05:
[...]


En waarom zeggen ze dat? Omdat ze vaak niet weten hoe en langswaar ze zijn binnen gekomen. Wat doe ik? Ik delete wat ik vind en zet een montoring op op de machine die alles logged zowel open poorten als verandering op de HD.
Eenmaal je weet wat ze proberen, dan weet je tenminste wat je moet doen om het tegen te gaan en dan kan je nadien een herinstallatie/format doen maar dan weet je wat je zeker moet aanpassen om ze buiten te houden!

En als je dat nou van te voren zou doen (als je zeker weet dat je installatie niet ge-exploit is), dan zou je een perfect systeem hebben ja

[Verwijderd]

Sir_Killalot schreef op 10 november 2003 @ 19:24:
[...]


Wat een onzin.

Als jij 20 virussen per dag download met Kazaa moet je toch beter leren zoeken.

Idd, de 50 moet je toch wel kunnen halen

[DiedX]

Verwijderd schreef op 10 november 2003 @ 19:30:
[...]

En als je dat nou van te voren zou doen (als je zeker weet dat je installatie niet ge-exploit is), dan zou je een perfect systeem hebben ja

Hoor ik daar een Linux gebruiker? (hi Nelske).

Ik heb dan nog het geluk dat ik weet waardoor het wrsch gekomen is. Ik heb net nog eens gekeken naar processen, en vind niets meer. FPort wijst niets uit. Ik formatteer over 2 weken (ik zit nu met school, en kan dit echt niet erbij gebruiken).

offtopic:
Jongens: laat het welles/nietes over EMule en KaZaA zitten, daar is dit topic veels te mooi voor!

Schouw: ben jij professioneel virushunter oid?

[ Voor 4% gewijzigd door DiedX op 10-11-2003 19:51 ]

[esorone]

Je hebt een aantal bestanden op je computer staat :winmgnt en servudaemon.ini
Dit is inderdaad de remote server.
Hij wordt vaak gebruikt om op je computer files te laten sharen in een "fxp"wereld. De hacker (scriptkiddie) heeft toegang op admin niveau op de c schijf. Als hij aan anderen ook toegang heeft verleend dan zal je in de servudaemon.ini zien dat er ook een ander account is gemaakt.

Winmngt wordt als services ingesteld en start de volgende keer weer op. Verwijder je deze dan zal de hacker weer via SQL inloggen. Althans als het een echte hacker is. Een beetje hacker maakt een eigen account aan en zal daardoor weer toegang verschaffen en via net start serv-u de winmgnt proberen op te starten. Lukt dit niet dan gaat hij echo'n om wederom winmgnt te uppen op jou computer.
Natuurlijk noemt hij hem dan geen winmgnt meer.

Verstandig is om even met languard je pc te laten scannen op openstaande poorten. Indien je aan een poort twijfelt moetje deze dan dicht gooien.

Groeten

[anandus]

Allemaal offtopic:

DiedX schreef op 10 november 2003 @ 19:50:
Schouw: ben jij professioneel virushunter oid?

Volgens mij wel, ik kom hem altijd tegen in dit soort topics, met veel info enzo.
@schouw:

esorone schreef op 10 november 2003 @ 21:45:
Een heel verhaal

Ik vraag me altijd af waar mensen deze know-how vandaan halen
Maar, ik ben ook niet into dat soort dingen.

_{Al vind ik dit soort dingen geweldig om te lezen. Hele topic ook}

[Wolfboy]

Ik vraag me altijd af waar mensen deze know-how vandaan halen
Maar, ik ben ook niet into dat soort dingen.

_{Al vind ik dit soort dingen geweldig om te lezen. Hele topic ook}

Ach al hang je maar eventjes in de fxp wereld rond dan krijg je al snel deze kennis hoor, en meestal zijn die scriptkiddies gewoon idioten die een tutorial gelezen hebben ofzo
eventjes de programma's downloaden en klaar

[ Voor 5% gewijzigd door Wolfboy op 10-11-2003 22:03 ]

[DiedX]

Ok,

Mijn PC is weer up en running, na wat problemen met de NTLDR.

Een van de vragen welke ik nog voor wilde leggen:

Ik kan als Admin niet bij mijn System Information folder. Hoe kan het zijn dat ik daar alleen maar bij kan als ik safe-mode doe? Of is het simpele antwoord: slechte beveiliging van Microsoft?

[blackd]

DiedX schreef op 21 november 2003 @ 13:43:
Ik kan als Admin niet bij mijn System Information folder. Hoe kan het zijn dat ik daar alleen maar bij kan als ik safe-mode doe? Of is het simpele antwoord: slechte beveiliging van Microsoft?

Hoezo slechte beveiliging? Anyway:
How to Gain Access to the System Volume Information Folder.

[ Voor 8% gewijzigd door blackd op 21-11-2003 13:59 ]

[DiedX]

Slechte beveiliging van mijn kant of die van Microsoft?

Ik wist niet dat het ZO makkelijk zou zijn. Ik vraag me af waarom sommige dingen zo moeilijk gemaakt worden