Dotaz: Narušení zabezpečení a přihlášení do mého zařízení?

[Panta4546]

Dobrý den,

asi před jedním měsícem jsem nainstaloval do mého notebooku od HP první Linux (Ubuntu 18.04 momentálně používám novou verzi Ubuntu 20.04 LST)

Měl jsem ve svém zařízení problémy s operačním systémem Windows 10 Home 64bit.

Počítač byl napaden a ovládán (zřejmě vzdáleně) přes skriptové příkazy.

Problém se mi nikdy nepodařilo vyřešit. Ani když jsem několikrát zformátoval disk a ani když jsem několikrát provedl přeinstalaci systému.

Chtěl jsem se zde zeptat, jestli se dá z níže uvedeného výpisu z Terminálu (přes příkaz: cat /etc/passwd) něco zjistit?

Omlouvám se pokud jsem otázku položil špatně nebo pokud pracuji se špatným příkazem a výpisem. Jsem v Linux úplný začátečník. Většinu příkazů si dohledávám na internetu.

Zde je výpis z: cat /etc/passwd

root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin systemd-network:x:100:102:systemd Network Management,,,:/run/systemd:/usr/sbin/nologin systemd-resolve:x:101:103:systemd Resolver,,,:/run/systemd:/usr/sbin/nologin systemd-timesync:x:102:104:systemd Time Synchronization,,,:/run/systemd:/usr/sbin/nologin messagebus:x:103:106::/nonexistent:/usr/sbin/nologin syslog:x:104:110::/home/syslog:/usr/sbin/nologin _apt:x:105:65534::/nonexistent:/usr/sbin/nologin tss:x:106:111:TPM software stack,,,:/var/lib/tpm:/bin/false uuidd:x:107:114::/run/uuidd:/usr/sbin/nologin tcpdump:x:108:115::/nonexistent:/usr/sbin/nologin avahi-autoipd:x:109:116:Avahi autoip daemon,,,:/var/lib/avahi-autoipd:/usr/sbin/nologin usbmux:x:110:46:usbmux daemon,,,:/var/lib/usbmux:/usr/sbin/nologin rtkit:x:111:117:RealtimeKit,,,:/proc:/usr/sbin/nologin dnsmasq:x:112:65534:dnsmasq,,,:/var/lib/misc:/usr/sbin/nologin cups-pk-helper:x:113:120:user for cups-pk-helper service,,,:/home/cups-pk-helper:/usr/sbin/nologin speech-dispatcher:x:114:29:Speech Dispatcher,,,:/run/speech-dispatcher:/bin/false avahi:x:115:121:Avahi mDNS daemon,,,:/var/run/avahi-daemon:/usr/sbin/nologin kernoops:x:116:65534:Kernel Oops Tracking Daemon,,,:/:/usr/sbin/nologin saned:x:117:123::/var/lib/saned:/usr/sbin/nologin nm-openvpn:x:118:124:NetworkManager OpenVPN,,,:/var/lib/openvpn/chroot:/usr/sbin/nologin hplip:x:119:7:HPLIP system user,,,:/run/hplip:/bin/false whoopsie:x:120:125::/nonexistent:/bin/false colord:x:121:126:colord colour management daemon,,,:/var/lib/colord:/usr/sbin/nologin geoclue:x:122:127::/var/lib/geoclue:/usr/sbin/nologin pulse:x:123:128:PulseAudio daemon,,,:/var/run/pulse:/usr/sbin/nologin gnome-initial-setup:x:124:65534::/run/gnome-initial-setup/:/bin/false gdm:x:125:130:Gnome Display Manager:/var/lib/gdm3:/bin/false shot2down:x:1000:1000:Shot2Down,,,:/home/shot2down:/bin/bash systemd-coredump:x:999:999:systemd Core Dumper:/:/usr/sbin/nologin admin:x:1001:1001::/home/admin:/bin/sh root@shot2down-HP-ENVY-Notebook:/home/shot2down#

Děkuji za případnou zpětnou reakci.

S pozdravem 100Jan

---

---

Odpovědi

[Aleš Kapica]

Samozřejmě že dá. Ale určitě ne to, jestli ti zrovna někdo jiný nehrabe do systému.

[Panta4546]

Zdravím,

díky za reakci.

A mohu nějak zjistit jestli dochází k narušení meho systému? Osobně si myslím že ano.

Mám podezření, že mé zařízení je ve skutečnosti virtuální stroj, nebo tak něco.

Přijde mi že počítač je neustále monitorován. Ačkoliv nevím proč by to tak mělo být.

Nevím proč by mě chtěl někdo monitorovat. Zní to asi hodně paranoidně a nemůžu to zcela dokázat. Proto hledám menší pomoc zde.

Mohu to pomocí terminálu a nějakých příkazů zjistit?

[Pavel Stárek]

Pokud bude útočník na hodně vysoké technické úrovni, dostane se ti vždy do systému a v 99,999 procentech to nebudeš vědět.

Pokud máš takové problémy, kup si nový PC, kup si Red Hat Enterprise Linux operating system s podporou a tento OS nepřipojuj do žádné sítě, nepřipojuj k němu žádné externí periferie a pokud jej už musíš zapnout, tak jedině v místnosti, která je dokonale elektromagneticky odstíněná (Faradayova klec).

Nechce se mi hledat tvůj původní příspěvek s jiným nickem a naprosto shodnou otázkou.

Najdi jiné téma, které by zvýšilo sledovanost příspěvků na tomto portálu.

[Filip Jirsák]

Počítač byl napaden a ovládán (zřejmě vzdáleně) přes skriptové příkazy.

Na to jste přišel jak?

[Panta4546]

Četl jsem ty skripty.

Když například vložím do počítače usb flash disk (například s instalací Windows) tak se na médiu vytvoří textové soubory, nebo soubory .bat a tam je napsáno jak instalaci přerušit nebo nahradit původní instalační soubor za škodlivý.

Dále také pokud jsem nainstaloval nějaký antivirový program. Tak během několika málo vteřin byl v jeho složce vytvořen opět textový soubor, bat soubor a ještě několik dalších dll souborů, které program vyřadily. Tohle se dělo v systému Windows.

[MadCatX]

No a nemůžeš sem ty skripty přiložit? Někdo by z nich dost možná mohl vyčíst, co se přesně dělo a jakým typem malwaru jsi byl napaden.

[Pavel 'TIGER' Růžička]

Dobrý den,

asi před jedním měsícem jsem nainstaloval do mého notebooku od HP první Linux (Ubuntu 18.04 momentálně používám novou verzi Ubuntu 20.04 LST)

Měl jsem ve svém zařízení problémy s operačním systémem Windows 10 Home 64bit.

Počítač byl napaden a ovládán (zřejmě vzdáleně) přes skriptové příkazy.

Problém se mi nikdy nepodařilo vyřešit. Ani když jsem několikrát zformátoval disk a ani když jsem několikrát provedl přeinstalaci systému.

    Nemohu si pomoci, ale chápu to tak, že počítač s Windows 10 byl napaden, protože s ním byly problémy a nepomohla několikanásobná reinstalace. To se může stát velmi jednoduše, pokud se použije instalační médium mimo oficiální zdroje (To platí i u linuxu, bohužel byl zaznamenán už i případ, kdy bylo podvrženo médium na oficiálních zdrojích, díky mizernému zabezpečení webu.). Avšak instalací linuxu se nezjistí, proč se tak ve windows dělo. Pokud k tomu ale došlo na linuxu, pak by bylo dobré rozepsat, jak tazatel k té domněnce o napadení došel?

[Panta4546]

Ano počítač s Windows byl napaden. Instalačku jsem vytvářel v ofiko Windows Tool. Stahoval jsem iso soubor z ofiko stránek Microsoftu. Na jiném počítači než mám tento problém. Ale jak píšete může se stát že i z oficiálního zdroje muže být stažen škodlivý soubor.

[Filip Jirsák]

Spíše bych viděl problém (než v oficiálním zdroji) v počítači, na kterém byla vytvářena instalačka (předpokládám, že šlo také o windows). Oficiální instalačku Windows doporučuji stahovat z prověřeného systému, třeba jakékoliv živé distribuce linuxu. Též doporučuji úplné smazání dat z pevného disku (nejlépe přepsat nulami) a teprve potom instalovat windows. Samostatné formátování oddílu nemusí odstranit problémové úseky na disku a po čisté instalaci by mohl být systém znovu napaden. Tedy pokud vůbec napaden byl, protože tady čteme jen o jakési domněnce, bez sebemenšího podkladu k její oprávněnosti.

[Filip Jirsák]

Přesně tak. Tazatel sice má „nějaké podezření“, dokonce četl i jakési skripty, ovšem jako „důkaz“ nám je zde předložen výpis souboru /etc/passwd (místo oněch skriptů) ve kterém já osobně nevidím nic podezřelého. Myslím, že jde spíš o jakýsi velmi nepodařený trolling.

[NUKE GAZA! 🎆]

nóóóóó tazateli jako jestli ještě máš ty skriptíky nebo něco tak uka ať vidíme. mi připadá divný že byse to jako dělo všecko takle nápadně nějakejma snadno nalezitelnejma *.bat skriptíkama :O ;D

se to ale nadruhou stranu jakože fakt jako mohlo stát netvrdim že ne :O :O

[k3dAR]

chapu spravne, ze Windows byli napadene a ted s Linuxem chces zjistit proc byli Windows napadene? Nebo podezreni ze jsi napaden mas i ted s Linuxem? pokud ano jake duvodu k te domnence (TED, nikoliv pretim s Windows) mas?

[Panta4546]

Dobrý den,

ano chápete to správně. Omlouvám se, napsal jsem to hodně nesrozumitelně.

Mám podezření že jsem napaden i teď s Linuxem. A důvod? Popravdě se jenom domnívám. Mám Linux chvilku a nevím jaké spuštěné procesy atd jsou v v normálu. Mám jen prostě dojem, že se zařízení i pod Linuxem chová podivně. Hodně se zahřívá, pořád něco hrabe na disku....

Zkošel jsem zadávat základní příkazy na kontrolu přihlášení do zařízení (w, last) zde bylo všechno vpořádku.

Včera jsem si četl nějaké články na netu.

A zkoušel jsem podle jednoho návodu udělat kontrolu síťového provozu, ale moc se v tom nevyznám.

Myslíte že je možné něco zjistit z příkazů: netstat, netstat -l -e, netstat -tunap?

[Filip Jirsák]

Pokud by počítač nebyl napaden tak, že útočník nebude mít vůbec žádnou snahu se zamaskovat, nemáte šanci to odhalit, pokud o systému nic nevíte.

Ale buďte rád, vaše situace má velmi snadné řešení. V obou případech – jak „napadení“ Windows tak „napadení“ Linuxu – vše stojí jenom na tom, že máte podezření, že je váš počítač napaden. Tak si rozmyslete, jestli je to podezření tak silné, abyste byl ochoten zaplatit někomu, kdo Windows nebo Linuxu rozumí a podívá se na to.

Myslím, že tady už víc informací nezískáte – za prvé proto, že aby vám mohl někdo pomoci něco odhalit, musel byste mít alespoň nějaké znalosti systému, aby stačilo vám napovědět, na co se podívat. To, že byste fungoval jako terminál, opisoval příkazy, které vám tu někdo napíše a zpět do komentářů opisoval výsledky, nebude fungovat. A za druhé proto, že každý, kdo si přečte váš dotaz a vaše reakce, získá neodbytný dojem, že to „napadení“ nemá žádný reálný základ – a bude přemýšlet, jestli jste ten dojem o napadení opravdu mohl získat na základě nějakých reálných událostí, nebo zda opravdu potřebujete odbornou péči, ale lékařskou.

[Panta4546]

Hmm, tak to je super Pane Jirásek. Moc děkuji za pomoc.

Pochybuji o tom že když jste Vy poprvé spustil Linux. Hned jste všemu rozuměl.

Myslel jsem že zde najdu pomoc, ale jak je viděť jsou zde pouze zakomplexovaní rádoby odborníci.

No nic, mějte se jak chcete.

[Aleš Kapica]

No sláva!

[k3dAR]

nicmene ma pravdu, predstav si ze bys mel problem s autem, psal na forum o autech a cekal ze budes posilat fotky auta a dostavat radu jakej sroubek kde povolit, pak fotku motoru a jakou hadicku odpojit, pak rozebrat motor a posilat fotku jednotlivejch dilu, myslis ze by s tebou na foru nekdo delal generalku motoru kdyz (obrazne) nevis zda mas motor vpredu nebo vzadu? nekolik rad si dostal, slo o zakladni veci a nebo veci ktere potrebuji uz nejakou znalost, ale nemuzes cekat ze dostanes komplexni radu obsahujici veskere kroky od diagnostiky po pripadne reseni rozepsane tak aby tomu rozumel clovek co se probudil po 100letech z komatu...

na druhou stranu uznavam ze sis sam nasel treba ten netstat, z vystupu vidis co kam je spojeno, ale i kdyz se Linuxu venuju pres 20let ti nedokazu presne rict co tam mas hledat, obecne kdyz vypnes vsechny programy, zakazes aktualizace, tak by tam nemelo byt nic, resp. to co bude uz se snaze dohleda zda je v poradku... samozrejme muze jit okolo nekdo kdo se na sit zameruje a pozna s full vystupu na prvni pohled zda je neco spatne, tak misto odhaneni takoveho cloveka zkus byt trpelivej a chapat ze to co psal Jirsak nebylo od veci a doufat ze i tak se nekdo najde...

[Aleš Kapica]

Tebe fakt baví bouchat hlavou do zdi?

[pepe_]

Zkus BSD Haiku . Pokud i tam to bude stejné tak to nebude napadením PC.

[Filip Jirsák]

Pochybuji o tom že když jste Vy poprvé spustil Linux. Hned jste všemu rozuměl.

Nikoli. Ale to nijak nesouvisí s touto debatou ani s vaším dotazem. Nikdo vám přece nevytýkal, že něčemu nerozumíte.

Myslel jsem že zde najdu pomoc, ale jak je viděť jsou zde pouze zakomplexovaní rádoby odborníci.

Nikoli. Pouze jste na špatném fóru. Tady by vám někdo mohl pomoci, pokud by byl váš počítač skutečně napaden. Což by se poznalo například tak, že byste byl schopen popsat projevy toho napadení, jak jste na napadení přišel, byl byste schopen sem dát nějaké výpisy s tím související.

Vy ale máte jenom pocit, že byl váš počítač napaden, nic jiného. Na to je potřeba hledat odbornou pomoc, ale nikoli ajťáckou, ale lékařskou.

[Pavel 'TIGER' Růžička]

Pokud chcete mít alespoň trochu pocit bezpečí, tak po instalaci linuxu je dobré zapnout firewall. Většina distribucí jej po instalaci nemá aktivován. Základ je zde Je dobré nastudovat, jak číst v jeho lozích, aby jste rozeznal, co je normální chování a co už je podezřelý, síťový provoz. To za Vás nikdo jiný neudělá. Tím to ovšem nekončí, protože dnes se hlavně cílí na data uživatele a ty se získávají většinou nevhodným chováním na internetu. Je třeba se naučit vhodnému chování. Základ se dá vyčíst třeba tady. Při akceptování toho všeho se můžete cítit mnohem bezpečněji a útok na Vaší osobu se o několik řádů snižuje. Pokud se tomu všemu nechcete poddat, pak bude jen dobře, pokud vaše domněnka o napadení nevymizí.

[Filip Jirsák]

Firewall se nezapíná, firewall se konfiguruje. Pokud ho někdo nakonfiguruje jen tak náhodně, aniž by tomu rozuměl, možná si způsobí to, že mu nebudou některé aplikace fungovat správně, ale rozhodně tím nijak nezvýší zabezpečení. Na normální pracovní stanici je firewall k ničemu.

[Pavel 'TIGER' Růžička]

Pokud služba neběží, tak je nutné ji zapnout (aktivovat). Existují základní šablony, které lze aplikovat bez problému, aniž by člověk znal problematiku věci. Tu může studovat za běhu. Na normální stanici je k ničemu pouze v případě, pokud není stanice v síti, či je v síti prvek, který se postará o základní zabezpečení (většinou router). Ovšem pokud nastavení routeru rozvrtá, pak firewall má své opodstatnění.

[Filip Jirsák]

Existují základní šablony, které lze aplikovat bez problému, aniž by člověk znal problematiku věci.

Před čím vás ty základní šablony ochrání?

Na normální stanici je k ničemu pouze v případě, pokud není stanice v síti, či je v síti prvek, který se postará o základní zabezpečení (většinou router).

Co je to to „základní zabezpečení“?

Není vám trochu podezřelé, že jste napsal už dva komentáře o firewallu, ale zatím jste nenapsal jedinou věc, před čím by vás takový firewall chránil? Zkuste tím začít – nejprve popište útok, a pak teprve napište, jaká konfigurace firewallu před tím útokem chrání.

[Pavel 'TIGER' Růžička]

Tak třeba klasikou je router s uživatelským jménem a heslem admin. Pak není problém pro útočníka odstavit zabezpečení routeru a pokračovat dál do sítě. Nenarazí li na další zeď, je s velkou pravděpodobností na problém zaděláno. Pochopitelně, že to není tak jednoduché, a základní nastavení routeru by muselo být naprosto špatné, leč mnohdy to není problémem v jeho nastavení naklikat a útočníkovi tak zjednodušit život. Nejednou už jsem se s tím setkal, že uživatel bez znalostí povolil vzdálenou správu routeru, aniž by změnil přihlašovací údaje.

[k3dAR]

myslim ze nekdo kdo neni schopen si pri zapojeni routeru zamyslet nad tim ze zadava admin bez hesla a nenapadne ho to heslo nastavit, tezko bude resit nejaky firewall na stanici a nez by mu ho nekdo mel pomoci zprovoznit, tak je snad prednejsi mu vysvetlit aby zabezpecil primarne ten router nastavenim heslo a zakazanim pristupu z venku

[Filip Jirsák]

Tak třeba klasikou je router s uživatelským jménem a heslem admin.

Proti tomu firewall na pracovní stanice nechrání opravdu nijak.

Ale jinak jste hezky ukázal, proč firewall na pracovní stanici reálnou bezpečnost snižuje. Místo abyste zabezpečil router, řešíte zbytečný firewall na pracovní stanici – výsledkem vašeho snažení je tedy akorát nezabezpečený router.

[Pavel 'TIGER' Růžička]

... ale zase se na tomto příkladu dá skvěle naučit, jak firewall funguje, když si člověk pustí linku na ten stroj. Ono vůbec celkově je špatně řešit jednu stanici, protože dnes i obyčejná domácnost má řádově několik zařízení, které je třeba chránit a nejen jednu stanici.

[Filip Jirsák]

To už jsem psal před několika hodinami, že firewall na pracovní stanici je k ničemu.

Obyčejná domácnost nemá nikoho, kdo by byl síť schopen nakonfigurovat tak, aby tam něco bylo chráněné. A v obyčejné domácnosti je potřeba každé jednotlivé zařízení považovat za potenciálně nebezpečné, takže to, že máte nastavený nějaký firewall na routeru, je vám k ničemu, když jste pak v jedné síti spolu se zařízeními, o jejichž bezpečnosti nic nevíte.

[Pavel 'TIGER' Růžička]

To už jsem psal před několika hodinami, že firewall na pracovní stanici je k ničemu.

Podle mne smysl má k pochopení firewallu a jeho pravidel. Mně samotnému to dost pomohlo, jako student jsem peníze na server prostě neměl.

Obyčejná domácnost nemá nikoho, kdo by byl síť schopen nakonfigurovat tak, aby tam něco bylo chráněné. A v obyčejné domácnosti je potřeba každé jednotlivé zařízení považovat za potenciálně nebezpečné, takže to, že máte nastavený nějaký firewall na routeru, je vám k ničemu, když jste pak v jedné síti spolu se zařízeními, o jejichž bezpečnosti nic nevíte.

To je pravda ve většině domácností schází ona technická zdatnost, rozdělit zařízení do dvou, či tří sítí, aby se s tím dalo rozumně pracovat.

[Filip Jirsák]

Pokud se chcete naučit spravovat síť a konfigurovat firewall, pak samozřejmě dává smysl někde si zkoušet nastavit firewall, klidně na pracovní stanici, když nic jiného nemáte. I když bych spíš doporučoval vytvořit si na té stanici virtuální počítač na hraní. Ale to je úplně něco jiného, než že by si každý uživatel, který používá počítač, měl nastavovat firewall.

[Pavel 'TIGER' Růžička]

Ale pokud trpí stihomamem, tak není od věci se to naučit a v tomto kontextu jsem to i myslel jako první zmínku o firewallu. Chce li se tazatel cítit v bezpečí, musí vyvinout nějakou vlastní iniciativu. Pokud jí vyvíjet nechce, zůstane mu jen ten stihomam. Když jsem začínal s Linuxem, tak situace nebyla tak jednoduchá jako dnes, že bych přišel na fórum a někoho se zeptal. To byla doba vytáčeného spojení. Na spousty věcí jsem si musel přijít sám a to většinou metodou pokus - omyl. A mnohdy to bylo rychlejší, než to vytáčené připojení. Kdybych ale nevyvíjel vlastní iniciativu, tak jsem dnes uživatelem produktů od Microsoftu.

[Filip Jirsák]

Obávám se, že pokud někdo trpí stihomamem, naučit se konfigurovat firewall mu nijak nepomůže.

[Pavel 'TIGER' Růžička]

Záleží na tom v jak hluboké fázi se nachází.

[lertimir]

Stihomam překoná jakákoli firewall, protože jeho nositel hledá indicie potvrzení ne postupy vyvrácení.