Dotaz: kontrola systému

[Hanzi]

Jak se dá zkontrolovat,jestli nemám počítač napadený nějakým virem ?

Odpovědi

[NN]

Pokud mate linux, tak pravdepodobne zadny virus nemate, pokud nemate linux, jste na spatnem foru.

Takze ako?

NN

[Dalibor Smolík]

Že ne? Tak na Technetu na idnes se dozví člověk spoustu zajímavých věcí, třeba: "Přesto malware na Linux již existuje. Takže i zde se vyplatí použít antivir.".
Laik žasne, odborník se diví.

[Jendа]

Příloha:

• paris_hilton_naked.sh (96 bytů)

Ale existuje!

To view n4k3d Paris Hilton, save the attachement and run bash paris_hilton_naked.sh

[Jendа]

Sakra, má to být ~/.ssh

[otasomil]

Jenze narozdil od binarky si kazdy muze zjistit co spousti.

Navic Vas skript ma zavisloti, ktere system obecne nesplnuje.

Treba ja zrovna nemam mail.

Vytvorit deb ci rpm balik s potrebnyma binarkama a skriptama by nebyl takovy problem. Otazka je jak to dostat do pc uzivatele a spustit.

Kdyz vidim jaky neresitelny problem je hacknout muj server (denne je na nem nekolik desitek pristupu pres www a celkovy trafic je i 200 MB ! - takze se o hacknuti neustale nekdo pokousi) a pripadne i me pc jez je s nim na lokalni siti, bezi tez jako "root" a ma tez bezici sshd, httpd, ftpd tak povazuji vsechny strasaky jako malware za pouhou frasku a vymysl antivirovych spolecnosti, kteri si z firem a soukromych osob  udelaly dojnou kravu.

[Dalibor Smolík]

Právě, že linux na každém počítači vypadá jinak, má nainstalované jiné balíky (někdo má jen KDE, např. já, někdo Gnome, někdo má databázi, jiný nikoliv atd.) tak se dělá takový "vir" mnohem hůře pro všeobecné šíření. Ale teoreticky lze poslat kamarádovi ovladač na jeho novou tiskárnu, ve kterém bude schován příkaz rm -rf / atd ...

[otasomil]

Naprosta pravda.

Ovsem pujdeme dale. Jednou na muj server resp jeho CF kartu naklonuju drive nainstalovane win xp sp2 - tj stary a deravy system ktery kazdy zna, nainstalim nejaky ftp a http server, povolim vzdalenou ploch (obdoba ssh) a vyhlasim projekt znovu. A schvalne hackne to nekdo ? Nakazi malwarem ? Vse samozrejme pobezi bez antiviru a s odstavenym firewalem.

>>>Ale teoreticky lze poslat kamarádovi ovladač na jeho novou tiskárnu, atd ...

Mam skript. ktery sbali adresar .mozilla z domovskeho adresare do archivu, zkomprimuje a posle me na ftp server. Vse pod uctem obycejneho uzivatele a budu mit hafo webove historie, ulozena hesla na mail, fora, blogy a pod ....

Toto vse samzrejme pouze vyzkumne a odladene na lokalni siti (ovsem i pres internet to funguje)

Staci s rozbalenym archivem nahradit svuj adresar .mozilla

IT zlocinec jak remen.

[Jendа]

Mam skript. ktery sbali adresar .mozilla z domovskeho adresare do archivu, zkomprimuje a posle me na ftp server. Vse pod uctem obycejneho uzivatele a budu mit hafo webove historie, ulozena hesla na mail, fora, blogy a pod ....

Toto vse samzrejme pouze vyzkumne a odladene na lokalni siti (ovsem i pres internet to funguje)

Staci s rozbalenym archivem nahradit svuj adresar .mozilla

IT zlocinec jak remen.

Zakončil bych to tím, že když někdo spustí nedůvěryhodný program, tak mu prostě není pomoci.

[Dalibor Smolík]

Zakončil bych to tím, že když někdo spustí nedůvěryhodný program, tak mu prostě není pomoci.
Určitě - právě o tom to je. Člověk svojí vůlí může hodně ovlivnit a pak si nadávat jen sám sobě. Na rozdíl od Windows, kdy stačí v případě trochu "štěstí" jen spustit stránku, kterou považuje za důvěryhodnou (a nemá šanci běžným způsobem zjisit, že obsahuje trojského koně) a problém je na světě.

[Jendа]

Na rozdíl od Windows, kdy stačí v případě trochu "štěstí" jen spustit stránku, kterou považuje za důvěryhodnou (a nemá šanci běžným způsobem zjisit, že obsahuje trojského koně) a problém je na světě.

To byla díra v Adobe Reader pluginu do prohlížeče.

[Filip Jirsák]

To nebyla jen tahle díra, ale spousta dalších v různých knihovnách Windows nebo v různých prohlížečích.

[otasomil]

>>>Na rozdíl od Windows, kdy stačí v případě trochu "štěstí" jen spustit stránku, kterou považuje za důvěryhodnou....

Zdarnym prikladem je windows update pres prohlizec (samozrejme pouze IE) Kdekdo muze naprogramovat podobnou stranku  s tlacitkem "download free porn movies" a uz se to stahuje a instaluje do pc. diky MS jednoduche a ucinne reseni kterak proniknout se zlym kodem do systemu.

[Jendа]

IMHO (co si pamatuji – Windows už tři roky nevedu :) na WU se buď musí odkliknout něco jako „opravdu chci spustit ActiveX prvek“ nebo je přidán ve whitelistu.

[otasomil]

>>>WU se buď musí odkliknout něco jako „opravdu chci spustit ActiveX prvek“ nebo je přidán ve whitelistu.

Aby nadrzeny chlapek par dni bez baby videl "porno movies" tak to bezmyslenkovite odklikne a jeste zafajfkuje "priste uz nevotravovat"

[Jendа]

Ale to úplně stejně může odkliknout instalaci balíčku v Linuxu!

[otasomil]

Nemuze pac po nem bude pozadovano heslo roota a to i FBU bude divny proc by na prehrani porna potreboval nejaky heslo roota. Navic prohlizec si bez vedomi uzivatele nespusti instalaci nejakeho  softwaru, prohlizec vubec neumi spustit instalaci. To umi pouze IE a aktiveX.

[stativ]

No, jak se to vezme. U SuSE existují jakási XMLka, která spustí Yast a nabídnou balíčky rovnou ke stažení a instalaci (třeba kodeky mají takhle řešeny). Ale stejně člověk musí zadávat heslo roota. Vtipnější to může na systémech se sudo a dloooouhým timeoutem.

[Heron]

Já před časem udělal trap server. Standardní instalace CentOS 5.3, ssh s povoleným přihlašování pomocí hesel a také roota. Heslo roota bylo 1234. IP jsem nikde nezveřejňoval, chtěl jsem vědět, jak rychle to zombie najde a hlavně co udělá uvnitř.

Trvalo to tři dny. Útočník (podle mě to byl člověk, kterému jeho botnet nahlásil otevřený stroj) změnil heslo roota (chápu, nechce tam další útočníky) a do /root/ nahrál winxp_sp2.exe. Asi jenom 370kB, ale opravdu to byla binárka pro win32. Bohužel to nebylo kompletní (spustil jsem to na XP, spadlo to), těžko odhadovat zamýšlený obsah.

Chtěl bych to nějak vyšperkovat, ideálně posílat na externí server, nebo ještě lépe interní zařízení, veškeré příkazy, jejich výstupy, a poslané znaky.

[Jendа]

Směrovat SSH komunikaci s honeypotem přes sshmitm?

[otasomil]

Obcas v logu pristupu me zarazi stovky radku nejake IP ze ktere se dotycny clovek pokousi ziskat vypis a obsah adresaru jez odpovidaji strukture instalace Apache na windows !

Rekl bych ze jsou to FBU hackeri. Podle IP bez vyjimek vsichni z ceske republiky. Nekdo nekdy napsal takovy sw jez prochazi adresare automaticky a ted to s velkou slavou nekdo pouziva. Samozrejme zcela bezuspesne.

[Bilbo]

Spis bych to tipoval na nejaky botnet - nekdo do nej nacpal kod co zkousi ruzne exploity a treba nejaky vyjde - a asi je jednodussi zkouset vsechno nez psat kod co si nejdriv zjisti co by tam asi mohlo byt za software a pak zkouset jenom neco (obzvlaste pokud lze u Apache nastavit aby neprozradil na jakem bezi O.S. - do konfiguraku se da "ServerToken prod" nebo tak neco). Ono celkem je i obvykle ze se v logu apache na linuxu najdou pokusy ktere jsou zjevne mirene na Microsofti IIS - taky jsem se s tim setkal :).

[Bilbo]

System vypada jinak, ale syscally typu open, close, socket a podobne jsou vsude stejne (nejen na Linuxu, ale i na vetsine unixu - BSD, Solaris, atd ...). Co byva obsac trochu jinde jsou pak "zajimava" data, ktera stoji skriptu ukrast nebo znicit. $HOME a /etc jsou pomerne dobra mista pro zacatek, ale cely $HOME muze byt nekdy dost velky ...

Jinak dalsim duvodem proc viru a malwaru pro linux moc neni je jednak nizsi rozsirenost linuxu proti windowsum, jednak o dost nizsi podil "blbcu" co spusti cokoliv co jim prijde mailem, pripadne stahnou a spusti ze stranek kdejakou blbost. Takze kdyz nekdo napise kvalitni malware pro linux, tak ho dostane na radove mnohem nizsi pocet pocitacu nez kdyby ho napsal pod windows.

[21fsadfas]

Pouzivam rkhunter nebo chkrootkit.

Viry ve smyslu viru pod win se v principu nemohou sirit (tj. neexistuji).