[Hacker] Op heterdaad betrapt; hoe nu aan te pakken?

[Soultaker]

Ik kwam er laatst achter dat op een PC van een vriend een Serv-U FTP server op de achtergrond draaide terwijl hij daar niets van wist. Die PC was dus gehackt door iemand die er een FTP server van had gemaakt waarvan de bestanden in C:\RECYCLER (de recycle bin; normaal onzichtbaar voor de gebruiker) bewaard bleven. Daar stonden dus ook warez (een Disney film; Home On The Range) in.

Na wat verder neuzen bleek er ook een Radmin service te draaien onder de naam "Simple TCP Services" en een Serv-U service die geregisteerd wordt als "IMAPI COM Service" met als omschrijving "IMAPI CD-Burning COM Service"

Voordat ik de troep verwijderde heb ik eerst de IP's van een aantal verbonden computers geregistreerd. Het lijkt me niet handig om die hier direct neer te zetten, maar het gaat om een IP uit een Israelische netrange die verbonden was met de FTP server en een IP uit een Noorse netrange die verbonden was met de RAdmin server.

Op zich zou je zeggen dat daar weinig mee te doen valt, maar nu viel me iets op.
In de Serv-U welcome message stond zoiets van 'T-L-E pubstro by Cryptic' . Op de Israëlische host draait een webserver en een FTP server (beide gewoon op de default ports) en daar kwam ik diezelfde naam tegen. Ik denk vermoed dus dat de hacker die host beheert.

Nu zul je je afvragen waarom ik zo vaag daarover doe. Dat komt doordat kort nadat ik een beetje die IP adressen had nagetrokken de web- en FTP server op de Israëlische host offline gingen (hoewel ik de host zelf nog steeds kan pingen) en de Noorse twee hosts helemaal offline gingen (voor zover ik kan zien). Verder was via RAdmin (want de FTP server was toen al afgesloten) de FTP directory met de warez en de configuratiebestanden erin verwijderd!

Gelukkig had ik ondertussen al een aantal bestanden gesaved. Dit was de index van de webserver:

De directories kon ik niet in; vooral de bestanden expl.job en service.exe. De eerste is volgens Norton AntiVirus een of andere exploit en de tweede is een UPX-packed WinRAR SFX file, waarin een zestal bestanden zitten:

(Ik heb het bestand zelf nog, maar ik weet niet of ik die hier moet plaatsen). Normaal gesproken wordt de batch-file automatisch uitgevoerd maar ik heb deze file uitgepakt door 'm eerst met UPX uit te pakken en vervolgens met 7-zip de RAR-file uit te pakken.

De bestanden kan ik voor het grootste deel wel identificeren:
• AdmDll.dll is een DLL die RAdmin nodig heeft;
• cdir.txt is een Serv-U directory template;
• crlogs.exe is een tooltje om de NT logs te wissen;
• dtreg.exe is een tooltje om de registry te editen op de command line;
• fport.exe list de open poorten op een systeen met de bijbehorende applicaties;
• IMAPI.exe is de Serv-U executable;
• info.exe geeft wat algemene systeeminfo (eigenaar, taal, CPU usage, etc.); • install.bat wordt normaliter door de executable uitgevoerd en die installeert de bestanden in de Windows directory en registreert de services en registry entries;
• login.txt is de Serv-U login template;
• raddrv.dll is een DLL die RAdmin nodig heeft;
• serv.exe is XNET 1.04 - een of andere tool om services te registeren;
• smrs.exe is de RAdmin executable;
• t1502.tmp is het Serv-U configuratiebestand;
• uptime.txt is een tooltje om de uptime van het systeem weer te geven.
Al deze bestanden waarom ook op het gehackte systeem te vinden. Het lijkt me dus duidelijk dat dit bestand een keer op de een of andere manier uitgevoerd is op de computer om de boel geïnstalleerd te krijgen.

Een opmerkelijk ding is dat in login.txt weer die "T-L-E Pubstro" genoemd staat, maar nu zonder naam van de hacker erbij. Verder wordt in de batch-file de Serv-U executable wel geïnstalleerd als service, maar ik zie niet hoe het configuratiebestand geïnstalleerd worden. In dat configuratiebestand staan wel weer accounts voor drie users genaamd 'filler', 'l33t' en 'cryptic' (en die laatste heeft de meeste rechten).

Een lange inleiding. Wat is nu mijn vraag? Zoals je kunt zien heb ik een aantal duidelijke bewijzen van computervredebreuk verzameld. Vooral het feit dat de gebruikte exploits op een openbare webserver staan lijkt mij redelijke grond daarvoor. Ik vraag me daarom af of ik hier op een of andere manier werk van kan maken. Heeft iemand hier ervaring mee of suggesties over hoe te werk te gaan?

Direct de service providers mailen lijkt me niet echt een heel goed idee. Die leggen het natuurlijk eerst voor aan hun abbonnees en die zorgt er dan wel voor dat het bewijsmateriaal verdwijnt. Verder weet ik natuurlijk niet zeker of de genoemde hosts ook echt eigendom zijn van de hacker; het kan best zijn dat hij die ook gehackt heeft.

Ik baal er wel een beetje van dat de computers nu onbereikbaar zijn geworden, maar misschien komen ze later weer online. Wat mij ideaal zou lijken is dat ik aangifte zou kunnen doen bij de plaatselijke politie en dat die dan het bestaan van de webserver verifiëren en vervolgens de computer in beslag nemen om uit te zoeken hoe de vork in de steel zit. Helaas lijkt het me niet echt waarschijnlijk dat dat gaat gebeuren, zelfs als ik in contact zou kunnen treden met de politie in Noorwegen of Israel.

Wat kan ik hier dan redelijkerwijs wel mee doen? Of zijn dit soort misdrijven simpelweg niet te bestrijden?

[ Voor 10% gewijzigd door Soultaker op 15-08-2004 02:48 ]

[bigfoot1942]

kijk eens welk icoontje links bovenin je browser verschijnt wanneer je gaat naar http://www.serv-u.com/

[Soultaker]

bigfoot1942 schreef op 15 augustus 2004 @ 02:44:
kijk eens welk icoontje links bovenin je browser verschijnt wanneer je gaat naar http://www.serv-u.com/

Ah... dan heb ik de files omgewisseld. Ik zal even mijn TS erop aanpassen hoor... Tnx iig.

[Verwijderd]

Woei spannend

Spijtig dat je die directories niet meteen op 'read-only' hebt geknikkert, maarja daar denk je de eerste keer ook niet meteen aan .

Vraagje, heb je die Israelische, Noorse Ip's nagetrokken / benaderd vanaf de pc die gehackt was? Het maakt namelijk wel iets uit of ze merkten dat een door hen gehackte bak niet gewild verkeer naar hen aan het sturen was, of dat een voor hen niet bekend ip adres hun whois opvroeg.
Is dit laatste namelijk het geval dan weten ze namelijk niet dat de pc in kwestie 'ontmaskterd' is. Nu zou je ze namelijk, mits ze onvoorzichtig zijn en niet alle ftps dumpen en andere slachtoffers zoeken, in het ongewisse kunnen houden en alle toekomstige traffic loggen. Naast het gegeven dat ik niet zeker ben in hoeverre dir juridisch alszijnde uitlokking wordt gezien is het maar zeer de vraag in hoeverre je je andere data / bandbreedte langer aan dergelijke fuiguren bloot wil stellen. Het biedt in ieder geval de mogelijkheid om bijvoorbeeld justitie in te lichten en hen ter plekke 'real-time' belastbaar materiaal vast te laten leggen.

Mocht je ze achterna gegaan zijn vanaf hetzelfde ip waarachter de slachtoffer pc hangt dan lijkt mij de kans dat ze terugkomen nihil.

Scherp beredeneerd dat het niet handig is om meteen de [e-mail] te gaan mailen aangezien ze dan met wat pech inderdaad hun data kunnen dumpen en on-site bewijslast (hd's enzo) kunnen vernietigen. Het is in ieder geval te hopen dat de providers in kwestie een actief log-beleid voeren .
Je volgende stap lijkt mij het lokale politie bureau over te slaan en Europol te contacteren. Geen idee of zij zulke concrete zaken zullen bekijken maar mail (bellen is nog beter) ze eens en leg hen het gegeven voor.

Contactinfo Europol :

Raamweg47, Den Haag

[phone]
[phone]
[e-mail]

Mits T-L-E (de naam zegt me niets overigens) een 'grote' group betreft zijn ze misschien te porren om erachteraan te gaan.

Veel succes (en plezier , het blijven interessante zaken) en houd ons op de hoogte!

[ Voor 5% gewijzigd door Verwijderd op 15-08-2004 03:28 ]

[Verwijderd]

Bij ons op school heet het netwerk ook T_L_E... zal wel een beetje een standaard zij niet? en wat wil je dan doen, denk je dat ze in israël politie heeft die hun nu gaat straffen ? of wat dan ook ?

[niels_999348]

Ik zou als ik jou was eerst kijken hoe ze zijn binnengekomen.
(kan het in je post niet vinden)
T-L-E zegt mij ook niet echt iets zal het eens navragen.
Probeer de exploits die er waren na te kijken of dat lek nog bij jou open staat.
Installeer in ieder geval een goede firewall.

Edit Schouw: Niet conform BV policy.

Aan de files kun je vaak nog meer zien, waar nog wat kan zitten.
EDIT:
over europoll enzv.
Ik denk dat ze er niks aan zullen doen
Waarschijnlijk is hij ook via proxy's op je systeem binnengekomen.
Wat je wel kan doen is jezelf infiltreren in de fxp scene en eigen agentje spelen

[ Voor 31% gewijzigd door Verwijderd op 15-08-2004 12:11 ]

[Soultaker]

Verwijderd schreef op 15 augustus 2004 @ 03:26:
Spijtig dat je die directories niet meteen op 'read-only' hebt geknikkert, maarja daar denk je de eerste keer ook niet meteen aan .

Daar baalde ik dus ook van. Maar ik had niet verwacht dat ze er zo snel op zouden zitten. Ook denk ik dat bestanden op mijn computer niet zo'n sterk bewijs voeren (al zou je bijvoorbeeld kunnen aanvoeren dat ik onmogelijk aan hun accountinformatie had kunnen komen als ze die er zelf niet opgezet zouden hebben).

Vraagje, heb je die Israelische, Noorse Ip's nagetrokken / benaderd vanaf de pc die gehackt was? Het maakt namelijk wel iets uit of ze merkten dat een door hen gehackte bak niet gewild verkeer naar hen aan het sturen was, of dat een voor hen niet bekend ip adres hun whois opvroeg.

Dat was dus vanaf dezelfde PC. (Ik was nieuwsgierig. ) Helaas is de website/FTP-server ook vanaf andere IP's onbereikbaar nu.

Mocht je ze achterna gegaan zijn vanaf hetzelfde ip waarachter de slachtoffer pc hangt dan lijkt mij de kans dat ze terugkomen nihil.

Misschien moet ik eens kijken wat die RAdmin precies doet en die proberen te installeren op een andere PC. Lijkt me dat er wel kans is dat ze terugkomen dan.

Je volgende stap lijkt mij het lokale politie bureau over te slaan en Europol te contacteren. Geen idee of zij zulke concrete zaken zullen bekijken maar mail (bellen is nog beter) ze eens en leg hen het gegeven voor.

Ik zal ze na het week-end eerst eens een mailtje sturen en zien of ze daar iets mee doen. Het liefst wacht ik even af of die website nog online komt.

niels_999 schreef op 15 augustus 2004 @ 12:02:
Ik zou als ik jou was eerst kijken hoe ze zijn binnengekomen.
(kan het in je post niet vinden)

Oh, dat lijkt me nu wel duidelijk. Als je die service.exe installeert dan worden al die files geinstalleerd met de batch file. (Hoe ze dan weten welke computer er geïnfecteerd is, is me niet direct duidelijk, maar misschien doet de voorgeconfigureerde RAdmin dat.) Die service.exe zal wel een keer door een onvoorzichtige gebruiker gestart zijn (gedownload via een P2P-programma of iets dergelijks, of opgestuurd via e-mail). Er draaide wel een up-to-date virusscanner op die computer maar geen van de programma's worden herkend als virussen of exploits (in principe zijn het ook legitieme programma's, die achter de rug van de gebruiker om geïnstalleerd zijn).

Wat je wel kan doen is jezelf infiltreren in de fxp scene en eigen agentje spelen

Mja, toen die FTP nog open stond was mijn eerste gedachte wel of ik er niet misschien op in kon loggen. In die Serv-U config file heb ik immers een account van ene user 'cryptic' en een MD5-crypted wachtwoord. De kans is aanwezig dat dat hetzelfde wachtwoord is als op die FTP server gebruikt wordt. Maar ja, eigenlijk ben ik dan net zo fout bezig, en bovendien is het bijna onmogelijk om zo'n wachtwoord te kraken.

[ Voor 5% gewijzigd door Soultaker op 15-08-2004 16:11 ]

[Verwijderd]

Die radmin key van je eigen key kan je makkelijk terug halen als text , dan kan je misschien met die password inloggen op die ips die je gelogged had .

[Verwijderd]

je kan hier volgens mij bar weinig mee, providers hebben log files nodig van firewalls of zoiets dergelijks voordat ze een abuse serieus nemen.

[ Voor 14% gewijzigd door Verwijderd op 16-08-2004 10:59 ]

[MikeN]

Afhankelijk van de provider gebeurd er niets of is de user meteen zijn account kwijt (beide gevallen meegemaakt).

De politie zal hier geen fuck aan doen tenzij het om iets groots gaat (servers van grote bedrijven ofzo die compleet gesloopt zijn).

Dit soort mensen "hacken" en installen serv-u op vele pc's per dag en hebben het bij jou/je vriend alleen maar gedaan omdat de zaakjes niet op orde waren (lees: beveiliging was brak). Leer daarvan en zorg dat ze nu niet meer kunnen binnenkomen is het devies

[niels_999348]

Crypton what are you doing?
First you say you are sorry and then you edit your post with nothing in it?

[Verwijderd]

Een typisch voorbeeld van een slachtoffer van 'The Scene'. Ofwel, men scant je, hackt je en pompt je vol met troep. Tevens heb je deze meneer niet echt op heterdaad betrapt. Je weet de ip's van 2 lui die van je FTP aan het leechen waren. Hiermee kan je weinig. Die ip's nalopen enzo.. best aardig gedaan maar je komt niet ver ben ik bang. Wel is het mooi werk dat je de hacker files hebt gevonden.

Wat ik je aanraad om te doen.
E-Mail de hacker files naar Interpol, en misschien met dit topic erbij.

Abuse adressen mailen heeft geen zin. .IL ISP's staan er om bekend overal schijt aan te hebben. Je eigen ISP contacten helpt weinig.. hun hebben er niets aan om daar hun tijd aan te besteden. En als dit geintje je niets gekost heeft, kan je ook weinig verhalen. Vandaar dat ik je nogmaals aanraad om interpol te mailen. Met als doel deze hacker PROBEREN te stoppen.

Even naar alle mensen met dit probleem. Als je echt veel geld verloren bent aan dit gehack kan je contact opnemen met Interpol. IP adressen verkrijgen via Netstat of whatever resulteerd in NIETS. Naar iemands IP verbinden is niet illegaal. Het enige waarmee je wat kan zijn HARDWARE MATIGE LOGS of SOFTWARE MATIG (dan wel van je firewall). Sommige providers zoals IS.NL loggen alle connecties. Met zulk materiaal kom je ergens.

Onder het motto, volkomen is beter dan genezen. Installeer vooral de hotfixes en service packs, hiermee voorkom je echt 90% van je hacks. Een firewall is ook handig. Zit je op een universiteit? Dan word je waarschijnlijk meerdere malen per dag 'gescant'. Een firewall is hiervoor echt genoeg. Hackers (9/10 keer scriptkiddies) gaan echt niet proberen om je firewall te kraken. En natuurlijk, update je software als er critical fixes zijn.

[Verwijderd]

Dit is in principe allemaal onzin eigenlijk....
1. JIJ/JE vriend heeft zijn pc niet goed beveiligt [eigen schuld]
2. hackers/leechers kunnen altijd proxies hebben gebruikt tijdens het inloggen/hacken van de pc's
3. tegenwoordig hoor ik vaak dat pc's remote controlled worden door hackers... en er zijn er genoeg die gewoon met gehackte pc's weer andere onbeveiligde pc's hacken...

in iedergeval... wel leuk dit allemaal... je leert er wel van... maar verders... heb je er NIKS aan als je naar mijn 3 puntjes kijkt...

"[Hacker] Op heterdaad betrapt; hoe nu aan te pakken?"
de gehackte pc beter beveiligen

Groetjes,
HeN3kez

[Soultaker]

Verwijderd schreef op 16 augustus 2004 @ 18:08:
Een typisch voorbeeld van een slachtoffer van 'The Scene'. Ofwel, men scant je, hackt je en pompt je vol met troep. Tevens heb je deze meneer niet echt op heterdaad betrapt. Je weet de ip's van 2 lui die van je FTP aan het leechen waren. Hiermee kan je weinig. Die ip's nalopen enzo.. best aardig gedaan maar je komt niet ver ben ik bang. Wel is het mooi werk dat je de hacker files hebt gevonden.

De ene persoon (of host; kan best dezelfde persoon zijn) heeft het wachtwoord van de RAdmin server. De andere persoon host een executable die de hele boel installeert. Geen van beiden lijken me 'gewone' gebruikers; een gewone gebruiker krijgt waarschijnlijk een gebruikersnaam/wachtwoord van de hacker maar beschikt zelf niet over dezelfde tools als gebruikt waren om te hacken of over de wachtwoorden om zo'n systemen mee te beheren.

Het lijkt me trouwens dat het in bezit hebben van hacking tools op zichzelf ook al strafbaar is. Als dat zo is heb ik geen bewijs nodig dat de hacker ergens ingebroken heeft.

Wat ik je aanraad om te doen. E-Mail de hacker files naar Interpol, en misschien met dit topic erbij.

Ik zal daar inderdaad eens mee beginnen, al verwacht ik daar vrij weinig van.

Onder het motto, volkomen is beter dan genezen. Installeer vooral de hotfixes en service packs, hiermee voorkom je echt 90% van je hacks. Een firewall is ook handig. Zit je op een universiteit? Dan word je waarschijnlijk meerdere malen per dag 'gescant'. Een firewall is hiervoor echt genoeg. Hackers (9/10 keer scriptkiddies) gaan echt niet proberen om je firewall te kraken. En natuurlijk, update je software als er critical fixes zijn.

In dit geval was het dus een typisch geval van een domme gebruiker die een gewone executable had gestart. Een virusscanner helpt dan nauwelijks (een firewall misschien wel). Zelf heb ik nooit last gehad van hackers ondanks dat ik geen firewall gebruik (wel een virusscanner om preventief mee te scannen). Je besturingssysteem up-to-date houden is inderdaad ook essentieel.

[frickY]

Spannend verhaal

Ik las overigens ergens de vraag hoe ze weten welke pc wel of niet online is oid?
Ik weet dat veel moderne trojans inloggen in een IRC kanaal en hier hun IP-adres achterlaten. De eigenaar van dit verborgen IRC kanaal weet zo precies welke hosts op dat moment online zijn, en heeft zo ook altijd alle nodige IP-adressen tot zijn beschikking.
Met deze methode worden grote Ddos aanvallen vaak gedaan.

Op www.grc.com staat hier een heeel interressant verhaal over. De eigenaar van die site, Steve Gibson (denk wel bekend onder velen hier) werd namelijk zelf het slachtoffer van een grote ddos. Hij is de software ingedoken, en uiteindelijk in dit verborgen IRC kanaal terrecht gekomen. T had een goed boek kunnen zijn

[RSpliet]

RAdmin is een remote administration client. Deze geeft de desktop weer zoals deze ook op de PC te zien is, dus bij tegelijk gebruiken kunnen er wel eens enge dingen gebeuren. Wat ik denk is dat ze die klite installatie hebben 'geinfecteerd', zodat deze de juiste servers download en de haxor in kwestie notified. Je vriend pech dat hij de verkeerde installer te pakken heeft. Als je de installer nog hebt, misschien vind je er iets geks in. Kan altijd van pas komen.

[SithWarrior]

Had die gene die zijn pc "gehacked" is een snelle internet verbinding dan? het lijkt me weining zinvol om op een chello lijntje een warez servertje te gaan bouwen

[Verwijderd]

Ik denk dat het slachtoffer net als ik op een studentencomplex woont, ik heb hetzelfde gehad (2002). Ik vond een firewal&passwords maar onzin, dat heb ik dus geweten.

Ik had ongeveer 80 GB aan rotzooi in mijn recyclebin staan, ik was op zoek gegaan naar troep omdat ik vondt dat mijn HD-space 160 + 80 GB wel erg snel slonk. Omdat ik net van een PII 233 naar een P4-1600 was gegaan merkte ik de vertraging nauwlijks. Ik zelf heb gewoon alles weggeflikkert en mij niet druk gemaakt om dit soort praktijken, ik had het even gemeld aan de abuse bij ond maar die deden er ook niks aan.

Maar het is inderdaad schering en inslag bij de 100mbit bezitters, dit is vaak ook de oorzaak dat de computer vaak om onbegrijpenlijke redenen aangaat. Ik heb nu een HW firewal, kost me 70% bandbreedte 3mbyte/sec ipv 10mbyte/sec maar ben er nu wel vanaf.

[KaMiKaZe]

Kep precies hetzelfde meegemaakt een jaar of 3 geleden. Ik heb de rechten wat ingeperkt en ze m'n harddisk laten vullen met verse spulletjes logging aangezet in de hidden serv-u en daarna wat poortscans losgelaten op de ip's van de "inbrekers", vervolgens van 2 domme fransen hun harde schijven geflusht (hadden gewoon windows filesharing aan ) en een paar andere een weekje geflood vraag me nog steeds af hoe dat ding op m'n pc kwam

[ Voor 6% gewijzigd door KaMiKaZe op 17-08-2004 09:27 ]

[bonzz.netninja]

Ik heb hier op mijn 100mbit lijn ook wel last van. Regelmatig de systeembeheerder aan de deur gehad, dat ik weer was afgesloten Mijn server is gebruikt voor leechen, maar ook dns attacks (meldingen CERT van over de hele wereld op mijn ip, ik voel me vereerd )

Nu heb ik er een router tussen hangen, waar maar heel weinig open staat. Momenteel heb ik geen firewall op mijn client, maar denk dat die wel weer terug komt op den duur (dit is nog een test fase). De huisserver staat via wifi (met wep key en mac adres filtering) verbonden op de zelfde router. Die draait dus nog maar op 11 mibt, alhoewel dat feitelijk misschien nog maar 4 mbit is ofzo......ook niet zo interresant meer hoop ik. En dan ga ik ook nog uit van de kwaliteit van ISA 2004.....als dit allemaal blijft sucken, moet ik ook maar aan een echte HW firewall ofzo.....fijnjoh, zo;n 100mbit netwerk.

[Verwijderd]

Hehe, zo te zien is de topicstarter niet de enige. Laat ik het zo zeggen, als je Windows XP erop zet met filesharing aan en je zit op een 'ip range' van een universiteit ben je gegarandeerd binnen 24/48 uur gehackt. Een HW firewall die 70% van je speed afneemt zou ik nooit doen. Aangezien deze script kiddies alleen maar Webdav/Netbios/IIS/SQL/LLAS kunnen hacken. Naja, misschien eentje meer, ik ben ook niet up to date. Een goede firewall van F-Secure moet voldoen. En niet teveel programma's op thrust zetten.

Anyway, iemand vroeg hoe ze op je pc komen. Nou das is vrij gemakkelijk. Netbios is een zeer simpel voorbeeld. Eerst scanned iemand je ip. Bijvoorbeeld poort 139 voor NETBIOS. Reply je op die poort? Dan ga je door een programma die checkt of je IP Vulnerable is. Is dat het geval (9/10 keer zo als je niet update) dan gaan ze je hacken. Niet zo spannend. Ze sturen met tools wat commando's naar je PC. Bij NETBIOS zijn die commando's overal te lezen.

http://www.astalavista.co...tion=dir&cmd=file&id=1237
Zie hier de NETBIOS commando's. Als je zo'n tutorial met de juiste commando's combineerd wordt er 9/10 keer een bestand bij jou, of meestal een andere gehackte pc een bestand op gehaald. Via IIS ging dat via TFTP. Als de Vuln. PC het bestand ook werkelijk binnen heeft kunnen ze hem starten. Dat gaat ook weer met zo'n commando. En dan draaid de FTP. Vervolgens knallen ze Radmin er ook nog ff op. Kunnen ze lekker met je meekijken. Dat kan je al met FTP access doen, via Serv-U bestaat er een commando als site exec. En denk nou niet dat deze programma's in je geheugen staan als ServuDaemon.exe en Radmin.exe, meer als SVCHOST.exe enzo. Meestal kan je dit wel herkennen aan de gebruiker waaronder dit process draaid. Dan draait hij bv. onder jou account naam, en niet onder System. Echte hackers hebben ook een soort van Rootkit, die zorgen ervoor dat de poort van hun FTP niet in NETSTAT staat enzo. Dan kan je je helemaal de pleuris zoeken.

Edit: Nog even over die bots. Dat is een add-on voor Servu. Dan joint een online pc (met dus servu gestart, die start auto bij het opstarten) het irc-kanaal van de hacker. Dan ziet hij bv. NL009 online, joepie! FF volpompen en posten weer!

NOTE: Ik ben niet verantwoordelijk voor wat er met deze informatie gebeurd.

[ Voor 93% gewijzigd door Verwijderd op 18-08-2004 17:23 ]