Архив форумов ЦИТФорума

[SOE]

извиняюсь троян FBRK1 или sysback 1.0

[and3008]

http://packetstorm.widexs.nl/UNIX/penetration/rootkits/indexdate.shtml.. список троянов. Скачай трояна и погляди в архив. Поймешь механизм и пребъешь. За одно и сделаешь, чтоб этого никогда не было.

[and3008]

Замени след. файлы:
ls Trojaned! Hide files
du Trojaned! Hide files
find Trojaned! Hide files
locate Trojaned! Hide files
ps Trojaned! Hide processes
top Trojaned! Hide processes
strings Trojaned! Hide strings of file
ifconfig Trojaned! Hide sniffing
netstat Trojaned! Hide connections
login Trojaned! Remote access
ftpd Trojaned! Remote access

Эти файлы подменил троян. Замени их на родные.

И удали эти:

sysback Remote access
zxsniff Packet sniffer!
fix File fixer!
sizer File resizer!
freshb FRESHb Binary Log Wiper!
fresht FRESHt Text Log Wiper!

Перезагрузка и АНАЛИЗ ПОЧЕМУ СИЕ ПРОИЗОШЛО!!!!
Пока не предпримешь меры по закрытию дыры, к сети комп не подключать!

[SOE]

Огромное спасибо за ответ!
"Замени файлы" это значит, в частности для ls-
/usr/src/ls/make; make install; make clean?
Если так, то strings ложится не в /usr/bin, а в /usr/libexec/aout, а ifconfig, netstat, ftpd ваще не компилятся. Может есть другой способ?
А дыра наверно - юзер uucp. Но как смог и как заткнуть незнаю. Есть только логи по которым видна последовательность. Если есть готовое решение, подскажи пожалуйста. Заранее спасибо за ответ.

[Dmitry.Karpov http://www.]

Не знаю, что у тебя за система, но во FreeBSD программу ls можно извлечь так:
cat bin.?? | tar -xvzf - bin/ls
Надо быть в директории, где лежат bin.??, если это не CD-ROM; с CD-ROM это делается
cat /cdrom/bin/bin.?? | tar -xvzf - bin/ls
или в зависимости от того, где лежат эти файлы.

[and3008]

Обычно таких троянов сажают через дырявые сервисы. Например через lpd, rpcd, rlogin и т.п.
Т.е. сервис был запущен с правами root, но из-за ошибок в коде сервиса есть возможность заставить выполнить любую команду с правами root. Например скачать с сайта архив, распаковать и запустить на выполнение скриптик. Скриптик заменяем вышеуказанные файлы и тю-тю. Троян готов к работе.

Нужно очень тщательно следить за запускаемыми сервисами. Очень желательно чтоб они работали не от пользователя root, а если такое не возможно, то хотя бы выполняли chroot. Т.е. меняли свой корневой каталог. Накладных расходов будет немного больше (требуется администрирование и больше дискового пространства), но вырастет безопасность.

Ну и пользуйтесь скаерами безопасности. Например nessus очень не плохой выбор.