MIKÄ mahtoi iskeä :O !!! Hakkeri???

[Jamac]

Siis yht'äkkiä kesken viattoman Curvesin käytön Photoshopissa, kovalevy tussautti täyteen rutinaan... Hetken sitä kattelin ja pistin sitten Activity Monitorin päälle, ja siellä päälimmäisenä prosessina find (kuulostaa terminaalikomennolta), sort prosesi oli myös (ei ehkä niin pelottavaa). Tapoin sen find prosessin. Myös perl ja locate prosessit oli kovassa vauhdissa!!! Mitä vittua toi perl... Sitten lämäsin lankun kiinni, eli läppäri nukkumaan. Verkkopiuha irti ja kone päälle... Sitten laantui... Huomasin että oli jäänyt palomuuri pois päältä, laitoin Brickhousella takaisin "Denyt" päälle ja nyt on taas hiljaista. Prosessit olil (siinä panikoidessani katsellessani) nobody, root, toin kaltaisia..

Onko tämä pelottavaa vai OS X 10.3.8 metkuja? Apache/php mulla on päällä, eli sitä kautta varmaan joku pystyy jos osaa, koska tuskin tätä defaulttina on vimpanpäälle turvalliseksi konffattu, kai?

[:S] Häröttää!!!

[Jamac]

peeveli...

Feb 14 12:27:49 Tietokone-mun-nimi kernel: ipfw: 52010 Deny UDP ip.os.oi.te:138 194.100.231.127:138 in via en0

Tällaista tulee ihan tasaisena tahtiin console.log:iin eli ipfw palomuuri on helisemässä!!!

[Jamac]

^ yllä ainakin näkyy että porttia 138 kolkutetaan? Googlella grc.com/port_138.htm löytyy alla oleva..

"UDP NetBIOS datagrams packets are exchanged over this port, usually with Windows machines but also with any other system running Samba (SMB). These UDP NetBIOS datagrams support non-connection oriented file sharing activities"

Ja myös 137 koitellaan...

"UDP NetBIOS name query packets are sent to this port, usually of Windows machines but also of any other system running Samba (SMB), to ask the receiving machine to disclose and return its current set of NetBIOS names."

huhhuhh ???

[janski]

Jos oikein tuota tulkitsen, niin yritykset tulevat osoitteesta 194.100.231.127. Ripe kertoo seuraavaa:

inetnum: 194.100.231.0 - 194.100.231.255
netname: WLANNET
descr: WLANnet Finland Oy
descr: Rautatienkatu 15 C, 33100 Tampere
country: FI
remarks: Abuse and SPAM: abuse@wlannet.com
admin-c: TE985-RIPE
tech-c: TE985-RIPE
status: ASSIGNED PA
mnt-by: AS3246-MNT
notify: hostmaster@songnet.fi
changed: hostmaster@songnet.fi 20020227
changed: hostmaster@songnet.fi 20031029
source: RIPE

Portista 138 kerrotaan seuraavaa:

http://www.iss.net/security_center/advi ... Ports/138/

Kannattanee siis mailata tuonne wlannetin abuseen.

[Jamac]

Näyttää kun kattelen, että noi logissa olevat ip:t ei näyttäis olevan ihan mun ip numeroita, mutta ko. firman ip:ltä näyttää...

Toi vaan huolestutta niin piruksi, että kovalevy rupes laulaan kun pavarotti kurkkuflunssassa. Nyt on tosiaan ihan hiljaista kun palomuuri on päällä.

Voisiko se olla että toin Apachen/php:n kautta olis päästy skannailemaan.

ONKO mut hakkeroitu... vaihdoin pääkäyttäjän salasanan jo. Hyvä että oli tuo Lacie... PB:n levyn rutinaa ei ehkä olisi huomannut niinkään.

[Aranwë]

Nuo portit 137 ja 138 taitaa Windowsissa repsottaa ammollaan, joten niihin varmasti tulee verkon kautta jatkuvasti kolkutteluja ja suoranaisia hyökkäyksiä aika tiheään.

[holviala]

Eihan OS X:aa voi hakkeroida? Siella mitaan viruksia ole, eihan se ollut edes teoreettisesti mahdollista... Ota nokoset vaan, kaikki on ihan hyvin, juuri niin kuin Steve haluaa. [H]

No joo.. Onko sulla asennettuna mitaa softia tuohon Apache+PHP -yhdistelmaan? Nuo prosessit kuulostaa kovasti madolta joka mullekin tuli hyvin tutuksi tuossa joulun alla... Esim jos sulla on PhpBB asennettuna edes testimielessa niin toivottavasti sulla on myos varmuuskopiot kaikesta...

[Jamac]

Ei noi kolkuttelut muakaan sinänsä haittaa, mutta perl on ohjelmointikieli/tulkki, ja findilla etsitään MUN kovalta tietoja, ja silloin pitää TIETÄÄ, että täällä päässä on OS X. Ei Vindowsista vahingossa löydy perliä, eikä unixin find:ia.

Onko uusimmassa X päivityksessa pahasti reikää?

[Jamac]

Eihan OS X:aa voi hakkeroida? Siella mitaan viruksia ole, eihan se ollut edes teoreettisesti mahdollista... Ota nokoset vaan, kaikki on ihan hyvin, juuri niin kuin Steve haluaa. [H]

No joo.. Onko sulla asennettuna mitaa softia tuohon Apache+PHP -yhdistelmaan? Nuo prosessit kuulostaa kovasti madolta joka mullekin tuli hyvin tutuksi tuossa joulun alla... Esim jos sulla on PhpBB asennettuna edes testimielessa niin toivottavasti sulla on myos varmuuskopiot kaikesta...

Hekoheko. Mutta asiaan. Ihan normi Apache mikä Pantterin mukana tulee 1.3 kait, php on 5 versio. Mitään muuta ei ole kun itte väännetty vaiheessa oleva php pohjainen dynaaminen weppisivusto. Tota mä eniten epäilen että kun palomuuri oli pois (w3c validointia varten) niin Apachen kautta on päästy ajamaan jotain. Perlhän on osa tätä os x:n Apache kuviota, sanovat sitä DAMP:ksi Darvinin mukaan.

wlannetista ei saanut kun sitä ytleistä virus höpinää. Nyt on kuin huopatossutehtaalla kun palomuuri on päällä. Emmätiä, nyt kun rupee ajattelemaan, niin olen aiemminkin (eilen mm.) huomannut ihmeellistä kovalevyn äkkiryntäilyä, sellaista että piti oikein jäädä odottelemaan. Ajattelin että se on vaan os x:n uuden päivityksen uusia metkuja. Mutta nää alko kyllä justiin 10.3.8 päivityksen jälkeen. Eikös tähän päivitykseen korjattu jotain OS X:n werkkoonmenojuttuja tai jotain?

[Lem]

Siis yht'äkkiä kesken viattoman Curvesin käytön Photoshopissa, kovalevy tussautti täyteen rutinaan... Hetken sitä kattelin ja pistin sitten Activity Monitorin päälle, ja siellä päälimmäisenä prosessina find (kuulostaa terminaalikomennolta), sort prosesi oli myös (ei ehkä niin pelottavaa). Tapoin sen find prosessin. Myös perl ja locate prosessit oli kovassa vauhdissa!!! Mitä vittua toi perl...

Koneesi luultavasti ajeli cronista ajastettuna updatedb-komennon päivittääkseen locate-tietokannan (tiedostojen etsimistä varten). Tästä rutina.

Nuo palomuurin jäljet ovat asia erikseen, mutta sudo updatedb -komennolla voit jäljitellä tuota hakuindeksin päivittymistä. Toinen vaihtoehto on ajella /etc/daily, weekly tai monthly-skriptit; en nyt muista, missä updatedb ajetaan. Olisiko weekly?

Pieni lisäys siis vielä: tuo updatedb on siis ihan normaalia, ja kuuluu järjestelmän periodic-ylläpitoon.

Ja jäljet palomuurissa osoittavat, että se tekee tehtävänsä

[holviala]

Katoppa huviksesi mita loytyy hakemiston /tmp alta. Terminaali auki ja ls -la /tmp jos ei sita Finderin kautta nae (en muista enaa).

[Jamac]

Tämmöinenkin tuolata console.log:sta löytyy, ja tässä on mun ip...

Feb 14 12:33:41 Tietokone-mun-nimi kernel: ipfw: 52010 Deny UDP xx.xx.xx.xx:49644 239.255.255.253:427 in via en0

Portti 49644??

ja

Feb 14 12:31:39 Tietokone-mun-nimi: ipfw: 52010 Deny UDP xx.xx.xx.xx:5353 224.0.0.251:5353 in via en0

Portti 5353?

Pitäkää tttu ne palomuurit kiinni, tää on vindowssia ny!

[Jamac]

Katoppa huviksesi mita loytyy hakemiston /tmp alta. Terminaali auki ja ls -la /tmp jos ei sita Finderin kautta nae (en muista enaa).

xx-xx-xx-xx:/ Mina$ ls -la /tmp
lrwxr-xr-x 1 Mina unknown 11 11 Jan 01:36 /tmp -> private/tmp

edit:
Finderilla löytyi

> hsperfdata_Meitsi
cs_cache_lock_501
> 502
> printers
natd.conf
mcx_compositor
firewall.conf
Firewall

[Jonagold]

Hassu juttu... nimittäin samoihin aikoihin, kun Jamacilla, mullakin tapahtui seuraavaa: aukaisin Safarin ja Sammon sivut ja laskujen maksu tökkivät pahasti. Sain kuitenkin laskuni maksettua, mutta kova oli mökä, mikä lähti tästä iMac G5:sta koko prosessin aikana! Suljin Safarin ja yritin käynnistellä Dockista uusia ohjelmia. Mutta en saanut Dockia edes näkyviin! (se on siis minulla normaalisti piilossa) Koneen sammutuskaan ei meinannut onnistua, kuin vasta useamman yrityksen jälkeen. Sitten kun sain koneeni uudestaan käyntiin, niin melu yms. oli poissa.

Mistäs tuon voi todeta, että jos joku on portteja kolkutellut? Mitä nuo portit 137 ja 138 ovat? Itse en näe sen nimisiä listassa, joka löytyy kohdasta järjestelmäasetukset/jako/palomuuri.

Eipä ole tämä iMac aikaisemmin tämmöistä tehnyt.

[Lem]

Hassu juttu... nimittäin samoihin aikoihin, kun Jamacilla, mullakin tapahtui seuraavaa:

Veikkaisin, että sinullakin lähti ajastettu updatedb käyntiin.

Nyt ei ole pääsyä macille, että näkisin root:n crontab:sta, mihin ajankohtaan tuo on oletuksena ajastettu. Mutta lyön lasillisen omenamehua vetoa, että syyllinen löytyy just sieltä.

[Jamac]

[Ja jäljet palomuurissa osoittavat, että se tekee tehtävänsä

palomuuri vaan oli pois päältä.... [:@] Ny on hiljasta...

[Jonagold]

Vaikka kyse olisikin ollut koneen rutiinitoiminnosta, niin kysyn vastaisuuden varalle, että onko tietoturvassani aukko, jos palomuurini on päällä, mutta sallin tiedostonjaon (548, 427) ja iTunesin musiikkijaon (3689)?

Ja millä tavalla saan näkyville mahdolliset koputtelijat ja koputusyritykset?

[Jamac]

Applications/Utilities -kansiosta Console -niminen ohjelma jolal voipi katella erilaisia logeja.


Ny, löysin tällasen.... olisko kyse olut tästä sitten vaan.. Mutta mistä asti näitä on päivisin tehty???

Mon Feb 14 12:00:00 EET 2005

Rebuilding locate database:
csh: Trying to start from "/var/root"
csh: Trying to start from "/"
Killed

Rebuilding whatis database:
find: /usr/local/man: No such file or directory

Rotating log files: ftp.log lookupd.log lpr.log mail.log netinfo.log ipfw.log
access_log error_log/usr/sbin/apachectl restart: httpd restarted

[holviala]

Ai, /tmp olikin /private/tmp.... Nooh, tuo Finderin listaus on ihan yhta hyva. Ei siella ainkaan tuota mun tuntemaa matoa tai sen jalkelaisia nay, eli ei hataa.

Itsekin ajattelin tuota updatedb:ta, mutta kun siihen ei missaan mun tuntemassa laitteessa (en tieda OS X:sta) liity perl millaan tavalla niin aloin epailemaan jotain muuta...

[Aranwë]

http://grc.com/port_138.htm

Tuolta voi tutkailla noiden eri porttien tehtäviä. Itsellä Windowsissa 8 avonaista porttia, ei kuitenkaan 137 tai 138, mutta 135 ja 139 kyllä vaikka kaikki patchit on asennettu (rautapalomuuri on kyllä, ei tarvitse huolestua).

Windowsia käyttäessä sitä tottui noihin kolkutteluihin, ettei paljoa enää aiheuta tykytystä. ZoneAlarmia käyttäessä taisi parhaimmillaan olla tuhansia yhteydenottoja päivittäin.

[kallekilponen]

Applications/Utilities -kansiosta Console -niminen ohjelma jolal voipi katella erilaisia logeja.


Ny, löysin tällasen.... olisko kyse olut tästä sitten vaan.. Mutta mistä asti näitä on päivisin tehty???

Mon Feb 14 12:00:00 EET 2005

Rebuilding locate database:
csh: Trying to start from "/var/root"
csh: Trying to start from "/"
Killed

Rebuilding whatis database:
find: /usr/local/man: No such file or directory

Rotating log files: ftp.log lookupd.log lpr.log mail.log netinfo.log ipfw.log
access_log error_log/usr/sbin/apachectl restart: httpd restarted

Hyvinkin todennäköistä.

Ehkä ovat muuttaneet ajoitusta, kun ovat tajunneet että koneet eivät ole öisin päällä.

[Roadstar]

Tarkista /etc/crontabista weekly-taskien ajamisaika, että täsmääkö se tuon rouskuttamisen ajankohdan kanssa. Minulla ainakin locaten ja whatisin kantojen päivitys on noissa weekly taskeissa. Crontabin syntaksiin löytyy apua esim. täältä.

[hooba]

Minkähänlaisia sääntöjä Homppulaisilla on palomuureissaan. Ois kiva nähdä mitä kannattaa laittaa esim BrickHouse, sunShield tai NetBarrier palomuureihin.

Entäs löytyiskös jostain mahdollisimman kattavaa listaa prosesseista, että vois tsekata onko pahis prosesseja pyörimässä.

[Jamac]

...En ole kuullut että olisi vielä yhtään pahisprosessia... Tietty esim Perl:llä voi tehdä monenlaisia asioita kun se on ohjelmointikielen tulkki.