Dotaz: Pravděpodobně mám cracknutý PC, jak postupovat

[Jack Hokus]

Ahoj,

mám pravděpodobně cracknutou mašinu a pravděpodobně dost brutálně. Přiznávám, že jsem to zjistil až po té, co mi útočník změnil hostename.

Vím, že je to důkaz značné blbosti, ale stane se. Jak v takovéto situaci postupovat. Samozřejmě je možné stroj reinstalovat, ale na druhou stranu, bych rád věděl kudy se tam dostal.

Petr

---

---

Odpovědi

[....]

dostal sem vam tam presne cestou, kterou jste si ho pozval.

[pht]

Odpojit od sítě, v případě zájmu o analýzu pořídit snapshot disku a ramdisku (dle OS), kompletně přeinstalovat a zabezpečit. Pak možno analyzovat obraz a pídit se po příčině.

[Ivo]

Nainstaluj si chkrootkit. To ti ukaze ci nemas niekde schovany rootkit. Ak to najde nejake programy ktore to maju (napriklad ps moze byt pozmenene a neukazovat skryte procesy) tak ich preinstaluj.

[Jakub Lucký]

Pokud si útočník se systémem hrál (zjevně ano, když změnil hostname), tak už nikdy člověk nemůže mít jistotu, že mu tam něco neběží (třeba upravené jádro, ssh démon nebo cokoliv jiného) a je potřeba přeinstalovat...

[R]

No proti modifikovanym binarkam staci skontrolovat checksumy vsetkych balikov (v Debiane debsums). Ale vacsi problem je, ak je tam nieco pridane - moze tam byt vselico skryte - niekde v crontabe, at, nejaky php skript (ak je to web server), cudzie ssh kluce a pod.

[Petr Tomášek]

A jak víš, že nemodifikoval checksumy, případně rovnou debsums (rpm / cokoliv)...?

[R]

Samozrejme treba nabootovat zarucene cisty system.

[michal]

Osobně bych tipoval na nějakého vtipálka, kolega z práce, spolužák, kamarád. Jinak jaký blbec by měnil na hacknutým počítači hostname? Pokud to není nějaký důležitý server tak by mělo stačit změnit hesla a případně projít základní nastavení v /etc .

[Luboš Doležel (Doli)]

A nezměnil hostname jen DHCP klient?

[Jack Hokus]

Dobrý den,

měl jste pravdu. Hostename mi opravdu změnil poskytovatel

Petr

[martin()]

Len tak zo zvedavosti, ako sa teraz vola system ?

Kolegovi sa raz nestatnou nahodou podarilo "hostname -a" namiesto "uname -a" a potom si to nevsimol ... :)