Viendo por encima los ficheros de log confirmar que básicamente que el método empleado fué el mismo, sólo que esta vez eliminaron parte de log del root.
Por lo que he podido ver, una de las cosas que hizo la persona que entró fué cambiar el fichero LS para que no se mostraran algunos de los ficheros.
El Script que proporcionaba el acceso remoto al sistema se servia de SQL Injection para conseguir la ejecución de los comandos. Utilizando google podemos ver un momento una lista de páginas que pueden ser carne de cañón del script instalado en la máquina.
Para la víctima todo empieza con una descarga mediante WGET del ELF:RST-B que ataca a los binarios de linux tipo ELF.
Info del ELF:RST-B segun Virus Attack!:
Un virus capaz de infectar archivos binarios del sistema operativo Linux, que debido a distintas similitudes con él, se considera la segunda versión del virus Remote Shell (RST).
Este virus reemplaza las direcciones de inicio en los encabezados ELF con una dirección que apunta a su propio código para poder ejecutarse cuando un programa infectado es llamado.
Al ser ejecutado, lo primero que hace es utilizar la herramienta ptrace para averiguar si está siendo localizado. Si es así, termina su ejecución. Si continúa con su rutina,intenta infectar todos los archivos binarios ELF en el directorio donde se encuentra.
Libera un backdoor (puerta trasera) en el sistema infectado que se pone en escucha mediante el protocolo EGP, poco utilizado en este tipo de troyanos. Luego, intenta conectarse a una dirección web para obtener información, que podría ser una lista de equipos infectados, ú otro tipo de datos similares.
Utiliza dos archivos, /dev/hdx1 y /dev/hdx2, como banderas, a fin de ejecutarse una sola vez al mismo tiempo en el equipo afectado.
Además de la infección de archivos, y de la instalación del backdoor, no posee otras rutinas que puedan considerarse maliciosas, aunque la apertura del sistema afectado para que pueda ser accedido remotamente puede traer consecuencias dañinas al sistema.
(Esta descripción está basada en un mensaje enviado por Ryan Russell, de Security Focus, a la lista incidents de dicho sitio).
Al otro lado del mostrador
Pedro Carrillo
1 comentario
Debido a que detectamos una violación del sistema del ordenador que servía las páginas del Dos Hermanas Wireless (2HW) vimos cómo instalaban un script que, mediante SQL Injection, explotaba una vulnerabilidad del PhpMyChat, así que ojito si lo tenéis puesto en vuestra página.