Dotaz: CO je to za soubor a kde se vzal?

[Markus]

Ahoj, nainstaloval jsem server, jeste jsem ani nic nenastavoval a po přihlášení přes ssh se dívam do složky /root a nasel jsem tam tento soubor: W2Ksp3.exe

Neví někdo co by to mohlo byt?

Děkuji

---

---

Odpovědi

[Pavel Stárek]

Že by service pack 3 pro Windows 2000? Co řekne příkaz file W2Ksp3.exe? Máte na serveru antivir clamav a můžete s ním ten soubor otestovat?

[Markus]

clamav nemam :(

[Markus]

file vraci

file /root/W2Ksp3.exe /root/W2Ksp3.exe: PE32 executable for MS Windows (GUI) Intel 80386 32-bit

[tuxmartin]

Je ten server připojený k internetu, povolené ssh s přihlašováním pomocí hesly a s jednoduchým heslem roota?

Pokud je tomu tak, doporučuji server reinstalovat v bezpečnějším prostředí (odpojený od netu), případně již při instalaci nastavit neprolomitelné ssh heslo.

Soubor stejného jména se mi objevil na pokusném čerstvě nainstalovaném serveru s heslem roota 1234. Klasická Windows binárka, ale SP to rozhodně nebyl. Prostě si z toho někdo udělal zombie (cíl testu byl zjistit, za jak dlouho se tam někdo dostane (3 dny) a co tam udělá (nahrál soubor a scanoval okolí)).

[lejo]

Win 2000 service pack 3

[NdrU]

Tady je video záznam "útoku" na nějaký honeypot, okolo 1:15 tam dotyčný "hacker" stáhne přesně tenhle soubor.

[Matlák]

přesně tak, v diskusi je tuším hláška že to útočníci (v tomhle případě to snad musel být robot) používají k testování šířky pásma linky..

[Jendа]

v tomhle případě to snad musel být robot

Jestli narážíš na to video, tak robot nedělá překlepy.

[pavlix]

Umělá inteligence?

[pocitujlasku]

Ale na tom zazname on stahuje priamo z download.microsoft.com, a ma 123 MB

[Markus]

Děkuji za tipy, kde prosím najdu log ssh? urcite to tam bude, ne?

[Jendа]

Jestli měl roota (což asi měl, když mohl zapisovat do /root/), systémuuž nemůžeš věřit. Log může být podvržený či promazaný. Najdi díru, přeinstaluj, zabezpeč.

[Sten]

Protože je to dle popisu nově nainstalovaný server, doporučuji jej spíše kompletně přeinstalovat.

[Markus]

tak jsem prosel /var/log/auth.log

a zjistil jsem ze

Prvni failed
R:69: Mar  8 05:14:07 master sshd[1448]: Failed password for root from 1.202.180.125 port 52540 ssh2

Posledni failed
R:20847: Mar  9 15:21:13 master sshd[14742]: Failed password for invalid user putty from 109.169.46.134 port 42604 ssh2

[Jendа]

To nic neznamená, takových pokusů má každý server dostupný z Internetu hromadu. Spíš bych se zaměřil na to, jak se tam ten cracker dostal - neměl jsi slabé heslo na roota?

[l4m4]

Nebo vůbec povolené přihlašování na roota heslem.

[Jendа]

Ale tak heslo jako co2EOHyKH0 asi nikdo necrackne…

[Markus]

zalezi co je slabe heslo, je pravda ze jsem mel heslo na root

- 10 znaků - vsechny znaky malá pismena - znaky dohromady tvorilo slovo

[Sten]

Ano, toto je slabé heslo. Slovníkový útok takové heslo za chvíli odhalí.

Navíc doporučuji zakázat přihlašování na roota, přinejmenším heslem (tj. používat sudo nebo klíče).

[Markus]

zalezi co je slabe heslo, je pravda ze jsem mel heslo na root

- 10 znaků
- vsechny znaky malá pismena
- znaky dohromady tvorilo slovo

[Nicky726]

To je slabé heslo.

[lertimir]

to je superslabé heslo. Na roota kdekoliv, kromě testovacích systému a těch, kde je mi heknutí jedno, považuji za vhodné pouze náhodně generovaná hesla. Hesla mám uložená v zašifrované KeePass klíčence a nosím si je na flash s sebou. A pro standardní opakovanou komunikaci se stejného systému ssh klíče, A navíc u systémů na nich mi záleží mámm root login zakázán a uvedenou bezpečnostní politiku používám pro uživatele. Je to prostě vždy stejné. Vyšší bezpečnost je vyšší opruz, a záleží jestli to uživateli (či správci) za to stojí.

[Jendа]

A navíc u systémů na nich mi záleží mámm root login zakázán a uvedenou bezpečnostní politiku používám pro uživatele.

Protože jeden flame nestačí!

[lertimir]

Nechci vyvolávat flame, Je patrně dost zdůvodněno, že pokud je na rootu opravdu silné heslo, tak povolení root loginu není bezpečnostní riziko. Ale na druhou stranu při bezpečnosti jde i o vnitřní pocit bezpečnosti. Neříkal jsem zákaz root loginu jako univerzální pravidlo, ale jako můj přístup. Jako přistup, kdy pak mám pocit, že jsem pro bezpečnost udělal, co jsem mohl. Stejně tak, jako když odcházím z bytu jako poslední a když si nejsem stoprocentně jist, že jsem zamknul dveře i závoru na dveřích, tak se vrátím a zkontroluji si to. Možná jsem paranoitní, no a co.

[Michal Kubeček]

IMHO jsou v tomto případě zajímavé spíš úspěšné pokusy o přihlášení než ty neúspěšné. Pokud tedy v logu jsou.

[Markus]

Ano jsou, přikládám jeden přístup asi z 6 úspěšných :(

Nevím přesně co dělal ale je vidět že vytvářel nějake skupiny, uživatele a měnil hesla. Více to spíš řekne odborníkum..

Mar  8 06:11:48 master sshd[2426]: Accepted password for root from 210.75.213.253 port 44971 ssh2
Mar  8 06:11:48 master sshd[2426]: pam_unix(sshd:session): session opened for user root by (uid=0)
Mar  8 06:11:49 master sshd[2426]: Received disconnect from 210.75.213.253: 11: Bye Bye
Mar  8 06:11:49 master sshd[2426]: pam_unix(sshd:session): session closed for user root
Mar  8 06:18:58 master sshd[2433]: Address 86.120.215.126 maps to 86-120-215-126.rdsnet.ro, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Mar  8 06:19:00 master sshd[2433]: Accepted password for root from 86.120.215.126 port 3966 ssh2
Mar  8 06:19:00 master sshd[2433]: pam_unix(sshd:session): session opened for user root by (uid=0)
Mar  8 06:19:59 master useradd[2453]: new group: name=angell, GID=1001
Mar  8 06:19:59 master useradd[2453]: new user: name=angell, UID=0, GID=1001, home=/usr/angell/, shell=/bin/bash
Mar  8 06:20:11 master useradd[2458]: new group: name=cote, GID=1002
Mar  8 06:20:11 master useradd[2458]: new user: name=cote, UID=0, GID=1002, home=/usr/cote/, shell=/bin/bash
Mar  8 06:20:33 master passwd[2463]: pam_unix(passwd:chauthtok): password changed for cote
Mar  8 06:21:15 master passwd[2465]: pam_unix(passwd:chauthtok): password changed for angell
Mar  8 06:21:35 master sshd[2469]: Address 86.120.215.126 maps to 86-120-215-126.rdsnet.ro, but this does not map back to the address - POSSIBLE BREAK-IN ATTEMPT!
Mar  8 06:21:41 master sshd[2469]: pam_unix(sshd:auth): authentication failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=86.120.215.126  user=root

Ještě by mě zajímalo, jestli je tohle trestné.. Jestli to mám nějak řešit nebo se z toho poučit aby se to již neopakovalo.

Díky

[Jendа]

Accepted password for root

Jo, takže přeinstalovat…

Ještě by mě zajímalo, jestli je tohle trestné..

Je (Neoprávněný přístup k počítačovému systému a nosiči informací, § 230 TrZ), můžeš zkusit napsat do Beijing Haihua Interlution Interner Co.,ltd, kterému patří ta IP adresa, určitě s tebou budou rádi spolupracovat. S největší pravděpodobností to stejně bude jenom nějaká zombie, přes kterou se ten útok vedl.

[Michal Kubeček]

Podle toho logu si vytvořil dva další účty (nebo spíš jen uživatelská jména) s UID 0, tj. v podstatě jen aliasy pro roota. Pravděpodobně proto, aby se tam dostal i v případě, že heslo roota změníte. Pokud rád riskujete, můžete ty účty smazat a doufat, že to byla jediná zadní vrátka. Chcete-li mít klidný spánek, přeinstalujte systém (a nepřenášejte tam ze starého nic spustitelného).

[JirkaFM]

Možná blbá otázka, ale hrozí mi něco podobného na domácím počítači (CentOS 5) ?

[Jendа]

Ano, hrozí. Pokud budeš mít SSH se slovníkovým heslem, může být takto veselo.

[Filip Jirsák]

Pokud bude mít sshd spuštěný. Pokud se k tomu domácímu počítači nepřihlašuje vzdáleně, je zbytečné mít tam vůbec sshd puštěné.

[otasomil]

Jenze bez sshd se tak spatne zije.....

[Filip Jirsák]

Jak komu. Já mám svou pracovní stanici taky nastavenou tak, že se tam sshd spouští a stanice jde zapnout přes Wake-on-LAN. Ale předpokládám, že spousta domácích uživatelů – zvlášť těch, kteří přešli z Windows – sshd nepoužívá, a ani nemají jak se na svůj počítač vzdáleně dostat (kvůli NATu).

[alanos]

No před půl rokem se mi stalo něco PODOBNEHO s tím rozdílem že pravděpodobně robot to měl vymakanější a opravdu nešlo manipulovat s soubory které tam nahrál. Ǔtočník se tam dostal přes slabé root heslo .Naštěstí to byl jen testovací server na kterém nic nebylo ale i tak mě to poučilo do budoucna že lehká hesla již nikam nedávám . Jen pro ty co by to zajímalo jsem na ten server dal heslo "aaa" aby se mi to rychleji psalo :o)- Od té doby se přihlašuji pouze přes klíče ssh a šmytec :o).

[Michal Kubeček]

Takže s trochou cynismu by se dalo říct, že vám ten útočník vlastně pomohl. :-)

[alanos]

Mě určitě , protože do té doby jsem to bral na lehkou váhu. Pro mě to bylo ponaučení jako řemen.

[lertimir]

Pokud není možné pod rootem manipulovat ze soubory, tak tam útočník nainstaloval i rootkit. Tedy změnil knihovny operačního systémy, tak, že systémová volání už reagovala jinak. to je pak už na zcela reinstalovat.

[Markus]

Jenze to se porad bavime o SSH ale co jine otevrene porty? Ty jsou nezajimave pro utocnika?

[otasomil]

Jine otevrene porty tez predstavuji lakadlo napr ftp, samba na serveru.

U SSH vypada slovnikovy utok jako dost nepravdepodobny neb spojeni je ukonceno po trech spatne zadanych heslech.

Jestlize se jedna o windows binarku tak je to nejaky "neznaly" utocnik jemuz se podarilo prihlasit, spustit wget s URL toho souboru.

[Karlos]

Průnik mohl jít taky přes phpshell, pokud běží webserver, což se dostáváme k bezpečnosti webových stránek, chrootu u služeb a mnoho dalších potencionálních děr vyházenících z defaultního nastavení. Tohle je na reinstalaci, používejte fail2ban na všechny služby kde probíhá login (ssh,ftp,imap,pop,smtp,www atd), důležité porty otevřít jen pro autorizované IP na FW , určitě se hodí nainstalovat logcheck, rkhunter.

[pc2005]

ftp

Neřekl bych, na ssh a http mě útočí každej den někdo. Ale na ftp nic. A to mám na ftp anonymní (!) připojení.

[Ash]

Taky tak.