@Ramen28 фев 2014 в 09:44

«BillGates» Linux Botnet — откуда же он взялся?

40 мин

23K

Информационная безопасность *

Из песочницы

+15

Комментарии 28

НЛО прилетело и опубликовало эту надпись здесь

@mayorovp 28 фев 2014 в 10:17

А это точно — тот самый ботнет? Имя процесса не совпадает.

@Ramen 28 фев 2014 в 10:22

Все тоже, только в crontab под user тоже записались скрипты. И получается дубль root-овского crontab в файле crona user-а.

@shanker 28 фев 2014 в 10:55

На днях начальница пригнала своего сынишку поучиться уму-разуму

Судя по дальнейшим событиям, этот сынишка — и есть часть бот-сети. Надо бы у знакомого ValdikSS узнать не приходил ли к ним такой же экземпляр.
Ведь с детства учат: после школы-детсада детишек в песочнице держать, рядом с остальными экземплярами. Чтоб не могли зловредный код исполнить.
Ramen Надеюсь, Вы полностью выкусили зловредный код из сознания этого вредоносного малыша? Объяснив азы компьютерной безопасности

@Ramen 28 фев 2014 в 11:22

Поскольку времени не было, то я просто восстановил нормальный backup. Я не до юзеру была установлена виртуальная машина с сервером на борту.

@openkazan 28 фев 2014 в 11:33

Вот давно еще заметил: новичек в линуксе ломает систему за рекордно короткий срок, по сравнению с профи, который даже не подумает _такое_ сотворить. У самого такие «ученики» были, но со временем избавились от своих «деструктивных талантов» :)

@Ramen 28 фев 2014 в 11:48

Сейчас молодежь абсолютно ни очем не думает. У знакомого сын прочитал мануал решил сделать себе root на ведроиде. И что? Я три дня сидел страдал. В итоге он пере разметил память вместо рута. Как так получилось я не знаю.

@Mario_Z 28 фев 2014 в 20:46

Ваша доброта вас непременно погубит. Дам совет — очень мягко отправляйте лесом добрых знакомых, а недобрых знакомых можно отправлять не мягко. Ну, или называть реальную стоимость вашего времени, без сюсюканий.

@lFaTaL1Ty 28 фев 2014 в 17:26

Ко мне домой точно никто не приходил, учитывая что сервер домашний и выполняет роль WiFi роутера.
Просто черт меня дернул на руте вечером сменить пароль…

@imwode 2 мар 2014 в 23:54

Выводов нет. Должно быть что-то типа: винда маст дай, дыра на дыре. Линукс — непробиваемый форт, заразитьлинух чем-то может только юзер, и то если он идиот. Все переходите с винды на Линух! Я уже год сижу (пересадил друга, маму, всех на работе) на линух, полет нормальный, про винду не вспоминали.

НЛО прилетело и опубликовало эту надпись здесь

@weirded 3 мар 2014 в 02:35

А вывод-то простой:

cd /etc/
git init
git add .
git commit

и в cron проверку, что ничего не изменилось раз в час.

@klirichek 3 мар 2014 в 02:52

для этого уже давно есть etckeeper

@weirded 3 мар 2014 в 04:47

Удобная обёртка, судя по описанию, но мне не понятен один момент: он что, коммитит всё незакоммиченное при apt-get?

То есть если я сделаю

apt-get install some-serious-prog

которая изменит пару файлов в etc, то изменения, которые выполнил злоумышленник попадут в этот коммит?

@ivlis 3 мар 2014 в 02:51

Судя по истории мне больше всех жаль парнишку. Админ явно не компетентен, но это ещё полбеды. Он ещё и учит явно плохим приёмам даже не администирования, а вообще пользования компьютером. Это очень печально. А потом ещё все удивляются, что новое поколение «не торт».

@Diden05 3 мар 2014 в 03:32

Сначала мы хреново учим учеников, потом удивляемся какие они плохие и ничего не умеют. Хотя слово учим тут не очень уместно.

@FreeLSD 3 мар 2014 в 06:09

Это довольно старая проблема:
С одной стороны, пользователи хотят использовать простые пароли. Не даешь им такой возможности, потенциально теряешь пользователей и деньги.
С другой — постоянный перебор паролей, который приводит таким ситуациям.
Истина где-то посередине.

@mx2000 3 мар 2014 в 06:54

Ключики решают, имхо.

@FreeLSD 3 мар 2014 в 06:59

Рядовому пользователю ключи неудобны, как показывает практика.

@foboss 3 мар 2014 в 09:10

Не пробовали двухфакторную аутентификацию через libpam-google-authenticator прикрутить?

@FreeLSD 3 мар 2014 в 10:12

Нет. Заставили делать пароли с участием верхнего/нижнего регистра и цифр.
Пофиг, в итоге все равно QWErty123 и аналогичные вводят.

@isden 3 мар 2014 в 09:18

Почему? Достаточно один раз настроить, положить их куда надо, и все — ситуация для конечного пользователя ничем не отличается от обычного парольного входа.