Re: Intrusion: savoir à quoi correspond un port ouvert
Le 13926ième jour après Epoch,
Luxpopuli Open écrivait:
> Bonjour,
>
> J'ai manifestement un problème d'intrusion et quelqu'un lance, à partir de
> ma machine, des attaques SSH. Au moins deux personnes (une aux USA l'autre
> en espagne) m'ont fait parvenir des logs prouvant que des tentatives de
> connection SSH sont réalisées depuis ma machine.
>
> Pour ne pas avoir de problèmes avec mon FAI qui m'a également envoyé un mail
> me menaçant de "faire le nécessaire" (!) si je ne résolvais pas le problème,
> j'ai commencé par supprimer tous les packages liés à SSH
L'idéal est plutôt de déconnecter ta machine du réseau, le temps de
nettoyer tout ça.
> Donc plus de client ni de serveur sur ma machine. Ca devrait, dans un
> premier, temps résoudre définitivement le problème. Mais est-ce si
> sûr ?!
Rien n'est moins sûr. En général, les "scripts" servant à cracker les
autres machines embarquent des versions de SSH qui leur sont
propres. Tu peux laisser ssh (client et serveur) sur ta machine, mais
il faut que tu nettoies le reste.
[...]
> 28011/tcp open unknown
[...]
> Ce port 28011 n'est pas mentionné dans /etc/services (sinon il ne serait pas
> référencé comme "unknown").
>
> Comment ou que dois-je faire pour avoir des informations sur ce ports ? Quel
> logiciel l'ouvre, depuis quand, pour faire quoi, comment le fermer,
> etc... ?
Tu peux essayer avec "netstat -putana|grep 28011", mais il y a toutes
les chances que ça ne t'apporte rien, les bons kits se camouflent
eux-même en modifiant la commande netstat, ainsi que tout plein
d'autres commandes (ls, md5sum, ssh, etc...)
Tu peux toutefois essayer de:
- Monter une machine équivalente à côté pour comparer le md5sum des
binaires en question
- Booter sur un live-cd pour "regarder" ta machine et remplacer les
binaires qui auraient pû être infectés
- Sauvegarder toutes tes "données" et réinstaller
Sache qu'il sera important pour toi de savoir par où l'intrus est
passé, pour éviter de recommencer la même histoire. Une injection SQL,
un trou PHP, un accès ftp associé à un serveur web, etc...
Bon courage :)
Reply to: