Server Hackeado :'(

mnaranjo22 · diciembre 7, 2004

Acabo de llegar de vacaciones y me encuentro con esta sorpresa :

Ya se ha decidido cambiar el Mandrake9.2 por otra distro Corporativa y cerrar los servicios de ftp y otros que no se necesitan, ademas de tomar mejores medidas de seguridad.
Asi cambiaron la web de la empresa :

Alguien tiene sugerencias, comentarios, apoyo moral ....

,
.............................................. me dan trabajo ??

Web

Cyrano · diciembre 7, 2004

Caramba, la cag*da !!

Pero no te aflijas. Ya vendrá el desquite...

kemark · diciembre 7, 2004

y que tantos servicios tenias abiertos pues? pa mi que eso es problema del sendmail como siempre y de un administrador que no se preocupa por la seguridad...

SuperLinuxnero · diciembre 7, 2004

Que vaina hombre, para que se mete en camisa de 11 mangas

kemark · diciembre 7, 2004

si quiere una distribucion segura instale slackware, y para el correo instale qmail

mnaranjo22 · diciembre 7, 2004

Pues apenas estoy tratando de revisar por donde pasó ....
Aparentemente el sendmail no fué, esta mas bien por el lado del ssh y del ftp .....

Gracias por el voto de apoyo Krawek .... asi vamos aprendiendo ........

kemark · diciembre 7, 2004

pero busca servicios riesgozos, tenias instalado proftp? que version? menos que la .1.2.9?

que mas servicios tenias?

mnaranjo22 · diciembre 7, 2004

Si, el proftpd ..... ademas de un usuario huji del dueño que deja mucho que desear con el manejo que tiene ...

.........
En fin, en proximos dias me dedicare a reinstalar, posiblemente consiga el Red Hat Corporativo .....

kemark · diciembre 7, 2004

redhat? no.... mejor instalate slackware, que version del proftpd era? seguro que por ahi es el hueco, la proxima instala vsftpd

metro · diciembre 7, 2004

Para la próxima echale una pasada del NESSUS (http://www.nessus.org/) de vez en cuando.
Es importante reportar estos casos que no qudeen ocultos, aunque sea para mejorar las estadísticas reales

**JuliänD** · diciembre 7, 2004

Metro, no conocía el programita. Excelente. Muchas gracias!

Krieg · diciembre 8, 2004

Para cosas serias yo siempre recomiendo Debian o Slackware. Y como siempre estar pendientes de los parches de seguridad.

Abre a Internet solo los servicios que necesiten estar en Internet, de verdad necesitas FTP abierto a Internet? Si ya tienes ssh y puedes usar scp no entiendo para que lo necesitas. Si sabes que puedes cerrar un servicio en una interfaz y dejarlo abierto en las otras? Por ejemplo si tienes Samba, puedes tenerlo funcionando solo en la red local y cerrado en Internet.

Asegurate que ningun servicio este corriendo como root, asi si te juakean Apache pues solo te juakean la pagina y nada mas.

Y por nada del mundo sigas utilizando la maquina en el estado que esta, si fue un juaker bueno pudo haber ganado un login, luego rootearse y finalmente esconder sus pasos (eliminar sus entradas de los logs, poner backdoors y esconderlos con versiones juakeadas de ps, etc).

Y no te desanimes, al reves, estas vainas dan animos para ser mas cuidadosos.

PD. No pude ver que te cambio el juaker, toma un screenshot, de puro morboso quiero ver.

Edit: La primera vez no me salieron los screenshots pero ya los vi. Por nada del mundo te pongas en contacto con el juaker, ademas que en el 99.9999999% de los casos no son mas que ninnos que solo saben esar scripts con exploits, probablemente ni sepa como te juakio.

**s0n1c** · diciembre 8, 2004

buena por la info del nessus

duB · diciembre 8, 2004

Con razon...

Starting nmap 3.50 ( http://www.insecure.org/nmap/ ) at 2004-12-08 22:46 COT
Interesting ports on adsl200-75-79-247.epm.net.co (200.75.79.247):
(The 1625 ports scanned but not shown below are in state: closed)
PORT STATE SERVICE
9/tcp filtered discard
13/tcp filtered daytime
15/tcp filtered netstat
21/tcp open ftp
22/tcp open ssh
25/tcp open smtp
37/tcp filtered time
53/tcp open domain
67/tcp open dhcpserver
79/tcp filtered finger
80/tcp open http
110/tcp open pop3
111/tcp open rpcbind
135/tcp filtered msrpc
136/tcp filtered profile
137/tcp filtered netbios-ns
138/tcp filtered netbios-dgm
139/tcp filtered netbios-ssn
443/tcp open https
445/tcp filtered microsoft-ds
520/tcp filtered efs
521/tcp filtered ripng
587/tcp open submission
754/tcp open krb_prop
769/tcp open vid
825/tcp open unknown
992/tcp open telnets
1080/tcp filtered socks
2049/tcp open nfs
3128/tcp filtered squid-http
6588/tcp filtered analogx
8080/tcp filtered http-proxy
31337/tcp filtered Elite
32770/tcp open sometimes-rpc3

Nmap run completed -- 1 IP address (1 host up) scanned in 31.789 seconds

metro · diciembre 9, 2004

Ahhh no mejo, eso tiene hasta el servicio del tinto abierto!

mnaranjo22 · diciembre 9, 2004

Eso es lo mas extraño, no hace mas de 2 meses que "Reinstale" y solo habia dejado abiertos los del ftp y el ssh ...... de resto nada de eso tenia por que aparecer aqui ....

.....
Ahi vamos aprendiendo .....
Voy a intentar la instalacion en otro equipo del Debian y estoy buscando el Slackware a ver como me va ...... seguire teniendo en cuenta los comentarios. Gracias