Keksin yhtäkkiä yksinkertaisen keinon rootkittien tuhoamiseksi.
Kun tiedetään että esim. Mebroot kirjoittaa tietonsa MBR:ään ja mahdollisesti osioiden buuttisektoreihin niin eikös tällainen toimisi;
Asennettaessa järjestelmä tehdään dd:llä MBR:stä image ja ajetaan jokin rootkit-softa puhtaassa asennuksessa jotta saadaan kuva puhtaasta järjestelmästä. Tämän jälkeen jos epäillään rootkit-tartuntaa niin yksinkertaisesti palautetaan dd:llä alkuperäisen MBR:n image MBR:ään jolloin mahdollinen rootkit tuhoutuu. Tarkoitettu tietenkin vain vainoharhaisille tai jos rootkitit alkavat leviämään linuxissa niin muillekin ;D
Toimisiko tämä systeemi, käsittääkseni kyllä, mitä mieltä olette. Tietenkin levyn osiointi monimutkaistaa tehtävää hieman eli aina osioitaessa olisi ensin ajettava MBR:n image MBR:ään ja osioinnin jälkeen otettava uusi image. Varmuuden maksimoimiseksi peitetään vielä osioiden buuttisektorit kirjoittamalla ne täyteen nollaa. Näin ei pitäisi rootkitin pystyä aktivoitumaan.
Vanhat asennukset joista ei ole MBR:n imagea ovat vähän ongelmallisempia mutta ratkaisu, joskin työläs, voisi olla /dev/zero tesdisk -yhdistelmä live-cd:ltä ajettuna ( = MBR:n puhdistus ja kirjotus)
http://www.tietokone.fi/uutta/uutinen.asp?news_id=33028
Rootkiteistä paremmin perillä olevat antakaa palautetta. Pistetään mieleen tulevaisuuden varalta.
Kun tiedetään että esim. Mebroot kirjoittaa tietonsa MBR:ään ja mahdollisesti osioiden buuttisektoreihin niin eikös tällainen toimisi;
Asennettaessa järjestelmä tehdään dd:llä MBR:stä image ja ajetaan jokin rootkit-softa puhtaassa asennuksessa jotta saadaan kuva puhtaasta järjestelmästä. Tämän jälkeen jos epäillään rootkit-tartuntaa niin yksinkertaisesti palautetaan dd:llä alkuperäisen MBR:n image MBR:ään jolloin mahdollinen rootkit tuhoutuu. Tarkoitettu tietenkin vain vainoharhaisille tai jos rootkitit alkavat leviämään linuxissa niin muillekin ;D
Toimisiko tämä systeemi, käsittääkseni kyllä, mitä mieltä olette. Tietenkin levyn osiointi monimutkaistaa tehtävää hieman eli aina osioitaessa olisi ensin ajettava MBR:n image MBR:ään ja osioinnin jälkeen otettava uusi image. Varmuuden maksimoimiseksi peitetään vielä osioiden buuttisektorit kirjoittamalla ne täyteen nollaa. Näin ei pitäisi rootkitin pystyä aktivoitumaan.
Vanhat asennukset joista ei ole MBR:n imagea ovat vähän ongelmallisempia mutta ratkaisu, joskin työläs, voisi olla /dev/zero tesdisk -yhdistelmä live-cd:ltä ajettuna ( = MBR:n puhdistus ja kirjotus)
http://www.tietokone.fi/uutta/uutinen.asp?news_id=33028
Rootkiteistä paremmin perillä olevat antakaa palautetta. Pistetään mieleen tulevaisuuden varalta.
Vastaukset 11
Vanhimmat
Jos epäillään että koneeseen on päästy käsiksi, ei voida luottaa enää yhteenkään ajettavaan ohjelmaan. Samoin kaikki avaimet ja salasanat ovat muuttuneet tehottomiksi. Ei ole muuta mahdollisuutta kuin asentaa kaikki uudestaan puhtaista lähteistä.
Murtautumisia voi yrittää paljastaa tripwiren kaltaisilla ohjelmilla, joiden käyttö aloitetaan heti ensiasennuksesta lähtien. Jälkikäteen skannaaminen jollain örkinpoisto-ohjelmalla on yhtä tyhjän kanssa.
Ai niin joo, unohdin ihan että rootkit tosiaan voi vaihtaa vaikka yksinkertaisten peruskomentojen sisällön mieleisekseen. Se siitä sitten, unohtakaa koko juttu.
lähinnä windows-käyttäjien harmina?
Sitäpaitsi aina kun asentaa linuxin puhtaalta pöydältä, kannattaa ottaa heti asennuksen jälkeen dd:llä image-levystä ja polttaa se image dvd:lle ja laittaa kopio myös muistitikulle.
On sit järjestelmän palauttaminen helppoa esim. jos kovo sanoo itsensä irti, ei tarvi asennella, senkun palauttaa live-linuxilla (ja edelleen dd:tä käyttäen) sen imagen kovolle ja se on sillä hoidettu.
Kaikki salasanat ja avaimet on vaihdettava. Myös etäkoneiden.
Siis pitääkö ne vaihtaa heti puhtaan asennuksen jälkeenkin?
Ja onko toi rootkit-juttu sama kuin toi SSH-ongelma?
Vai mikä tossa on homman nimi? Meikä ei oikein tiedä mitään noista rootkiteistä..
Kun kone on saatu haltuun niin rosvo on saanut tietoonsa kaikki koneen salasanat ja avaimet. Samoin kaikki seuranta-aikana etäkoneilla käytetyt salasanat. Siksi ne kaikki pitää vaihtaa palautuksen jälkeen.
Pitää myös huolehtia imagen luomisen jälkeen tulleista päivityksistä kuten myös varmuuskopioista.
Se ssh-juttu un taas eri asia.
Siis miksi puhut etäkoneista?
Oletetaan että on tavallinen kotikäyttäjä joka EI harrasta servujen pitoa, eikä myöskään ETÄhallitse kotikoneitaan. On asentanut Ubuntun ihan tavallisena asennuksena.
Ja käyttää normaalisti ubua ihan tavallisena käyttäjänä, ei roottina.
Voiko siis tuollaiseen koneeseen joku kräkätä ja napata salasanat?
Eli ei tehdä tästä sotkuisempaa kuin se onkaan, taviskäyttäjillä ei ole servuja eikä ne etäkäytä kotikoneitaan esim. työkoneilta.
En kyllä ole tukeutunut nettiin tätä kirjoittaessa vaan ihan ulkomuistista yritän vetää hatusta, korjatkaa jos tulee virhettä.
Rootkit on siis ulkopuolisen hyökkääjän koneelle ujuttama ohjelma joka piiloutuu koneelle eri tavoin, sitä on hankala paikallistaa ja se pyrkii muuttamaan koneen ohjelmia siten että voi kontrolloida konetta takaportin kautta. Se muokkaa myös koneen lokeja niin ettei siitä jäisi jälkiä. Rootkit voi muuttaa niinkin alkeellista perusohjelmaa kuin "ls" siten että se jättää tulostamatta jotakin josta käyttäjä saattasi huomata jotain outoa.
Lainasin kerran tekun kirjastosta yhden kirjan jossa aihetta käsiteltiin, linux administrator pläplä jotakin. Siinä kyllä kerrottiin että harjaantunut root huomaa tietyistä asioista epäillä rootkitia ilman tunnistussoftaa mutta en tietty enää muista mitä ne oli, jotain ristiriitaisuuksia kuitenkin jää lokeihin joita on käsitelty, siinä oli myös ohjeita mitä kannattaa asennuksen jälkeen tehdä jotta käpälöidyt ohjelmat ja lokit voi kaivella esiin. Lisäksi saastuneen järjestelmän rootkit-tunnistus ei enää toimi yleensä oikein joten sen ajamisesta ei ole oikein apua. Ensimmäinen rootkit-softa pitäisi joka tapauksessa ajaa heti järjestelmän asennuksen jälkeen jotta siitä olisi jotakin hyötyä, tartunnan jälkeen asennetusta rootkit-softasta ei ole enää mitään apua.
Siitä vain tuli mieleeni että kun rootkitia voidaan epäillä niin oli joitakin keinoja tapella vastaan ilman koko järjestelmän uudelleenasennusta ja tuumailin tuota MBR:n peittomista mikäli kyseessä olisi ollut tämä tyyppi joka piiloutuu MBR:ään mutta ilmeisesti on kuitenkin tavalliselle kotikäyttäjälle helpointa vain asentaa uudelleen koko roska koska saastuneiden ohjelmien esille kaivaminen ja vaihtaminen puhtaisiin taitaa olla vieläkin työläämpää.
Linux-kotikäyttäjälle joka pääasiassa surffailee, rootkiteista ei pitäisi olla mitään suurempaa uhkaa mutta on syytä pitää turvapäivitykset ajantasalla joka tapauksessa.
Sitä että myös kaikki ne salasanat, joita on käytetty kirjautumiseen muille koneille, ovat muuttuneet kelvottomaksi. Tällaisia voi olla vaikka postilaatikko ja nettisivut, joihin täytyy kirjautua. Kaamein tilanne syntyy, jos on usean etäkoneen ylläpitäjä. Tällöin myös kaikki etäkoneet joutuu asentamaan uusiksi.
Hyvää Linux/Unix käytäntöä noudattavalle mahdollisuus joutua tietomurron kohteeksi on äärimmäisen pieni. Verkosta ei suinkaan tulla koneelle kuin telttaan. Olkoon koneella servereitä tai ei. Nollaan vain ei voi koskaan päästä.
Tietomurto on helppoa, jos koneelle on fyysinen pääsy. Esimerkiksi raahattava kone on varastettu. Samoin muistitikku katoaa helposti. Näissä tapauksissa ei ole muuta suojaa kuin salaus.
Kaikenlaisten uhkakuvien keskellä on syytä muistaa että muut vahingot ovat huimasti todennäköisimpiä. Käyttäjän/ylläpitäjän töppäily, konerikko, tulipalo, vesivahinko, varkaus, jne.
joutua tuon kohteeksi? Siis jos ei ylläpidä mitään servereitä eikä etähallitse koneitaan?
Tuo sun selitykses meni nimittäin vähän ns.yli hilseen mutta mä olenkin juuri TAVALLINEN käyttäjä.
Mä en pidä servereitä enkä ylläpidä mitään etäkoneita. Käytän konetta nettisurffailuun, sähköpostiin ym.
Ja miten se rootkit mulle sitten tulisi? Eikö se pidä asentaa paikallisesti, kone tartuttamalla ja siihen tarvitaan varmaan pääkäyttäjän tunnuksia?
Jollei sulla ole openssh-server asennettuna niin ei ole MITÄÄN pelkoa, kukaan ei tule koneelle ainakaan verkon kautta. Tämä uutisointi koskee nimenomaan sitä debianin satunnaislukugeneraattorissa ollutta vikaa jonka vuoksi salausavaimet on helpohko murtaa.
Toisekseen jos olet päivittänyt koneesi asianmukaisesti ei ole pelkoa vaikka nyttemmin asentaisit ssh:n, vika on korjattu. Mutta jos se viallinen versio oli asennettuna niin pelkkä päivitys ei riitä vaan myös salausavaimet tulee generoida uudelleen.
Katso siis onko openssh-server asennettu, mikäli on mutta et tarvi niin poista se.
Tässä linkki sivulle josta voi utsia korjatut versiot
http://www.ubuntu.com/usn/usn-612-1
Tuliko asia nyt selvemmäksi?