Dotaz: Hacknuté Ubuntu

[radar654]

Zdravím, někdo mi hacknul Ubuntu.

Změnilo se mi pozadí GNOME a přihlášení. Po změně hesla uživatele dle návodu, který jsem našel na internetu, se i tak nelze přihlásit. Zřejme jen zaměněná vstupní stránka pro sběr hesel.

Takže mi šlo hlavně o to dostat se do zašifrovaného disku. Bohužel pomocí Live USB mi nejde najít zašifrované složky s 'sudo ecryptfs-recover-private' Mělo by to napsat, že nenašel nebo našel, takhle hodinu a nic.. Svazek disku je samozřejmě připojen. Když nebyl připojen, tak napsalo chybu. Heslo pro rozšifrování samozřejmě mám. Jenže tak daleko se to nedostane, abych ho mohl zadat a bylo to hotové..

Takže napadá někoho, co s tím? Potřebuji udělat kopii rozšifrovaných složek a souborů a pak přeinstalovat. Zálohu fakt nemám :)

Odpovědi

[debian+]

V mnohych distrach sa cez CTRL+ALT+F1 az F12 prepinas medzi konsoly. Na jednej z nich startuje GUI. Najdi si konzolu. Prihlas sa ako root a zmen si heslo cez:

passwd USER_NAME

Zabranie logi sa da aj vytvorenim prazdneho suboru /etc/nologin.

Ak sifrovanie a spol., nepouzivam - neviem.

[okl]

debian+ laskavo ta prosim nechaj si svoje rady pre seba.

1. nevies pisat 2. nevies citat s porozumenim 3. si navodova rychlokvaska co sem kopiruje nepochopene preklady a nikomu tym nepomahas 4. ked nieco nepouzivas tak s k tomu nevyjadruj

A plati to aj o ostatnych forach kde pises tie svoje PICOVINY

Dakujem

[ewew]

Toto môže robiť aj v prípade plného disku systému. Tipujem, že logovanie sa zbláznilo a vyčerpalo dostupné miesto. Môžeš skúsiť sa prihlásiť cez CLI. Dostaneš sa tam pomocou kombinácie CTRL+ALT+F1 táto skratka ťa prenesie na cli. Tam môžeš vložiť meno a heslo. Ak ti odpovie nesprávne heslo, tak je zmenené heslo. ale ak aj v tomto prípade prihlási a odhlási, môže to indikovať plný disk. Grafický login ti odmietne pretože nedokáže zapísať Xauthority.

Druhá varianta je použiť LIVE usb a pokusiť sa pripojiť koreň systému. Koreň systému obsahuje veci systému. AK sa ti podarí pripojiť koreň, tak skontroluj obsadenie, ak tam bude číslo 100% alebo podobne vysoké skontroluj veľkosť /var/log.

Použitie týchto informácii je na vlastné riziko.

[Pavel 'TIGER' Růžička]

Zdravím, někdo mi hacknul Ubuntu. Verze?

Změnilo se mi pozadí GNOME (jak to víš, když se ani nepřihlásíš?) a přihlášení (Myslíš snad přihlašovací údaje?). Po změně hesla uživatele dle návodu (jakého návodu?), který jsem našel na internetu (kde?), se i tak nelze přihlásit. Zřejme jen zaměněná vstupní stránka pro sběr hesel.

Takže mi šlo hlavně o to dostat se do zašifrovaného disku. Bohužel pomocí Live USB mi nejde najít zašifrované složky s 'sudo ecryptfs-recover-private' To není tak jednoduché, záleží na tom, co a jak si šifroval? Mělo by to napsat, že nenašel nebo našel, takhle hodinu a nic.. Svazek disku je samozřejmě připojen. Když nebyl připojen, tak napsalo chybu. Heslo pro rozšifrování samozřejmě mám. Jenže tak daleko se to nedostane, abych ho mohl zadat a bylo to hotové..

Takže napadá někoho, co s tím? Máš tři možnosti

• Vyslat zprávu internetem, ať ti to "hacker" vrátí do původního stavu
• Více nám rozepsat tvé postupy v šifrování a doufat, že nalezneme postup, jak se k datům dostat
• Vykašlat se na data, poučit se a začít na nové louce.

Potřebuji udělat kopii rozšifrovaných složek a souborů a pak přeinstalovat. Zálohu fakt nemám :)

[Andrej]

Nepíšeš dost podrobností o postupech, které jsi použil, jak už tady bylo zmíněno.

Zdravím, někdo mi hacknul Ubuntu.

Konspirační teorie o „hacknutí“ zní sice dobrodružně, ale nic z toho, co píšeš, ji zatím nepotvrzuje. Na mě tohle celé působí dojmem selhání disku nebo SSD — nicméně dojem je na houby; je třeba zjistit fakta.

Selháním disku se dá vysvětlit spousta věcí.

• Změna přihlašovací obrazovky? Třeba display manager není schopen přečíst „styl“ nebo obrázek a použije tedy něco implicitního.
• Nelze se přihlásit? Třeba nelze přečíst něco důležitého — binárku, domovský adresář —, co je k přihlášení nutné.
• Že nějaké hledání šifrovaných adresářů / souborových systémů trvá věčně? Třeba se prostě nedají přečíst — tedy disk/SSD napřed chvíli dodává 1 kB/s, pak chvíli nic a pak prochází nekonečnou sérií timeoutů a restartů ze strany kernelů —, zatímco namountovat ten „vnější“ souborový systém zatím ještě lze.

Když jsi nabootovat z nějakého toho live média, zkoušel jsi:

• prohlédnout dmesg, jestli tam není záplava problémů s diskem?
• smartctl -A /dev/sdx, jestli se tam náhodou něco zajímavého neobjeví? (Často ne, ale občas přece jen.)
• (raději ze všeho nejdřív) zkopírovat ta data jinam, třeba i „nízkoúrovňově“, v šifrované podobě? Hodí se něco jako (cd zdroj/..; tar -c zdroj;) | pv -arb | (cd cíl; tar -x;) — aby člověk viděl, jestli kopírování dává smysl a jestli se nezaseklo na 1 kB/s, což se u poškozených disků nebo SSD prostě může stát.

Jestli ne, na tohle bych se asi podíval především.

[Jendа]

Mě by taky zajímalo, jak přišel na hacknutí. Také to mohl být nepodařený upgrade nebo nějaká jiná chyba.

Pro zjištění problémů s diskem (samozřejmě až po záloze) také může spustit debsums -c, což přečte nainstalované soubory ze všech balíčků a zkontroluje, že jsou čitelné a že sedí checksum.

[lertimir]

No hlavně "Neumím složky najít." zanamená, že se naprosto nevyzná ve filovém systému. Neví vůbec, co kde v linuxu je. A s tím se mu nedá moc radit s opravou. Změna pozadí může být nějaká změna v default při upgrade. Bůh ví, co připojil. Jestli má oddělený root a /home a připojil jen root, tak tam nic samozřejmě nebylo. mohla se mu díky nějaké chybě změnit klávesnice.

[Andrej]

Jo, zkontrolovat checksumy je dobrý nápad. Sice to neodhalí nějaké ošklivosti ve /var/lib, v domovském adresáři nebo obecně tam, kde to není v gesci balíčkovacího systému, ale jako základní sanity check je to rozhodně potřebné.

Kdysi se mi stalo, že jsem se nemohl přihlásit (resp. mohl, ale KDE se pak nenačetlo), protože se mi v ~/ objevil řídký soubor o velikosti 13 TB (resp. jeden konfigurák od KDE takhle zřídnul) a nějaká komponenta KDE ho chtěla celý přečíst , nenechala se odradit nulovou prázdnotou a opravdu to dlouho trvalo. (To bylo za dob primitivních FS bez checksumů a způsobil to, pokud si pamatuju, Reiser4. Nicméně on se dá takový soubor vyrobit i bez selhání FS; stačí obrovský lseek() a jeden write() kdovíkam.)

Odhad kolem selhání disku / SSD jsem zakládal hlavně na tom, že nějaké operace trvají dlouho a nikdy neskončí, bez nějaké zjevné chyby.

Ještě bych doporučil ten příkaz, který má najít zašifrovaný filesystém, spustit přes strace. Je to sice trochu kanón na vrabce a výstupu může být opravdu přespříliš, ale na konci tam snad bude vidět, co to dělá a na čem se to zasekne, jestli je to smyčka (o zatížení procesoru tazatel nepsal, tak nevím), jestli je to čekání na čtení (a odkud) atd.

Taky je možné, že se nějaký ecryptfsd odporoučel (napůl), blokuje někde nějaký socket, nedá se k němu připojit atd. atp.