desinstaller SuckIt

par **docsha** » 11 Fév 2004 13:16

Bonjour tout le monde J'ai un serveur qui tourne sous redhat7 . Sur ce dernier je me suis rendu compte que quelqu'un s'etait connecte dessus et y avait installé : voial ce que j'ai pu trouver : The system is going down for reboot NOW !! [===== SucKIT version 1.3a, Apr 22 2003 <http://sd.g-art.nl/sk> =====] [====== (c)oded by sd <sd@cdi.cz> & devik <devik@cdi.cz>, 2002 ======] $%#&!: Got signal 11 while manipulating kerne Ma question est donc comment me debarrasser de ce rootkit (je crois que s'en est un) ? Existe il des outils ou devrai je recompiler le noyau ? En esperant que quelqu'un veuille bien m'expliquer comment la personne a fait (même theoriquement) et comment le desinstaller je vous souhaite tous une agreable journée. ciao

par **JaDiuM** » 11 Fév 2004 14:07

bonjour docha, effectivement un beau rootkit, cepandant le vilain n'a pas réussit à l'intaller (pb de compilation kernel <IMG SRC="images/smiles/icon_smile.gif"> ). Ceci dit si il s'agit d'un machine de production, il est fortement conseillé de formater !! et de tout reprendre. Car la il a tenté ce rootkit, mais en a certainement placé d'autre !. Fort à parier qu'il à remplacé les commandes les plus courantes type rm ln ls etc... Mais avant de relancer une nouvelle install (car la il est corrompu " acces root"), il serait bon d'effectuer un autopsie, pour connaitre son mode operatoire. dans tout les cas il a certainement utilisé des failles de type nremap ou sur des services de type ftp (proftpd, wuftpd etc), apache ou autre. Quoi qu'il en soit sur ta nouvelle config je te recommande vivement l'usage de soft de type chkrootkit, tripwire, mettre en place d'environement chroot pour les services proposé, déportation des logs, cryptage, ids, patchs appli et kernel etc. Enfin la liste est longue. Désolé pour ta mésaventure. _________________ ---------------------------------- "Computers are like air conditionners. They stop working properly when you open Windows" ----------------------------------

par **docsha** » 11 Fév 2004 15:33

Bonjour JaDiuM tout d'abord je tiens a te remercier pour ton aide et pour la rapidite avec laquelle tu m'as repondu (chapeau <IMG SRC="images/smiles/icon_smile.gif"> ) . J'ai cependant encore quelques questions (si t'as un peu de temps bien sur) Pour installer son rootkit le hacker a du (apparament) modifier le prog 'init' et l'a remplacer par init.ciuciu (verolé). Le problem c'est que lorsque nous nous sommes rendu compte de cela nous avons reboote la machine <IMG SRC="images/smiles/icon_frown.gif"> . du coup je pense que c'est init.ciuciu qui est actif . Le system semble quand meme fonctionner si ce n'est qu'il ne s'arrete plus ( et ce n'est peut etre que la partie visble de l'iceberg). Comment faire ( sans formater c'est la difficulté) pour remettre le fichier 'init' d'une autre machine a la place de ( un ami l'a deja fait ,cela semble fonctionner mais j'avoue que je me demande comment il a fait pour modifier un prog actif , peut etre en montant la partion ??) init.ciuciu ? tu as ecris : "Fort à parier qu'il à remplacé les commandes les plus courantes type rm ln ls etc... " et " cepandant le vilain n'a pas réussit à l'intaller (pb de compilation kernel <IMG SRC="images/smiles/icon_smile.gif"> ). " -Comment le hacker a t il pu faire cela sachant que le rootkit n'a pas pu s'installer ( as tu deduis que l'installation avait planté a cause du msg : "$%#&!: Got signal 11 while manipulating kerne " ) -Ou puis je trouver de la doc la dessus qui ne me demande pas (si ca existe <IMG SRC="images/smiles/icon_smile.gif"> ) 2 semaines pour comprendre. (j'ai de bonnes bases en prog mais pour ce qui est de l'administration ... ) Bon je me doute que tu as pleins de chose a faire ... mais si t'as un petit moment , tu feras un heureux ( quoique tu m'as deja bien mis sur la voie) Cordialement

par **JaDiuM** » 11 Fév 2004 15:52

Re bonjour, Concernant ton problème, il n'est plus question de remonter le système tel qu'il est (j'espère que tu as des backup), les finesses sont tellements grandes, que même experiementé tu n'y verrai rien (pid et process masqué, detournement de regle firewall, redirection de flux keylog snif etc...) Pour le message effectivement, ça sous entend un echec, mais independament du rootkit la personne a eu acces à un shell root (ou user puis root) donc tes passwords sont compromis et plus certainement plus encore (encore une fois je sous entends que ce cybervioleur savait ce qu'il fesait). S'agit t-il d'un acces interne? ou externe ?

par **docsha** » 11 Fév 2004 16:21

Re Bonjour Le pc est un petit serveur de bases de données ( gestion commerciale interne). A la base il y avait effectivement des acces interne et externe. Mais depuis que l'on s'est rendu compte du problem nous avons bloque toutes les connexions sauf celle de la VPN. du coup nous pensons ( a tort ?) qu'il n'y a plus de risque de connexion depuis l'exterieur vers le pc. Faut il donc imperativement formater ? je sais que tu me l'as deja precisé mais j'ai un superieur qui n'aime pas du tout le mot formater ... merci beaucoup JS

par **JaDiuM** » 11 Fév 2004 16:31

En premier lieu vérifier si il n'y pas eu de fuite de ta database ! (le plus important). En second lieu Formater est le plus sage ! en plus de renouveler les certificats de ton VPN !

par **docsha** » 11 Fév 2004 16:53

merci et a charge de revanche ( en admettant que je puisse t aider <IMG SRC="images/smiles/icon_smile.gif">) ) ciao

desinstaller SuckIt

Qui est en ligne ?