[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[plamo:10208] Re: named運用時に作成される怪しいファイルについて

川本@横浜です。

> Linux Seminar で cracker の話をお願いした真鍋さんに尋ねてみたら，こう
> いう返事をいただきました．
> 
> # 腹だたしいでしょうが，使われたツールやログの類いを保存しておけば，他
> # の人の参考になることもあります．

はい、ざっと見でログは確認しましたが、それらしいものは確認できませんでし
た。
現在、再インストール中なのでそれが終わり次第詳しく見てみるつもりです。
（ついでにplamo2.2へアップグレード中）


> > root kit を放り込まれているので、このまま運用するのはどのような
> > 形態であれ、お勧めできません。
> > 損害を最小限に抑えるためにも早い時期に再インストールする方が
> > 良いでしょう。ただし、再インストール後のシステムに適切な処置を施す
> > ために侵入経路等をしぼりこんでおくことも御忘れなく。
rk.tgzとはルートキットのことだったんですね。話は聞いたことはありますが、
実際に放り込まれるとは。
外部からWWWのみ接続すればいいので、その他はIPMASQ+フィルタで内部からしか
接続できないようにしていました。
それだけで安心してしまい、このマシンでDNS(named)を動かしてしまったのが
そもそもの原因です。今後はDNSは内部に持つように変更するつもりです。

> > 
> > 私はこの root kit は御初です。ssh や wpe 等のパーツは一般的な
> > ものですが、.install スクリプトの内容がちょっと見掛けないもの
> > ですので。もしかしたら、比較的新手のものなのかも知れません。
MLに添付するのは、いかがなものかと思いまので、真鍋さんを始め、その他解析
される方があれば個人的に送付します。

> > 
> > /var/named ディレクトリ以下や、/var/log 以下のログファイル等は
> > ラップして冷凍保存しておいて後々解析を行うのも楽しいですよ :-)
> > 個人的にご連絡いただければ、調査に関して多少お手伝いできることが
> > あるかも知れません。
> >  ----- manabe@dsl.gr.jp.
> > 
その節はよろしくお願いします。

--------------------------------------------
Kenyu Kawamoto
(1)kenyu_k@f6.dion.ne.jp(定期的にみます）
(2)knkawa@hotmail.com(その他出先にて）
--------------------------------------------
References
[plamo:10207] Re: named運用時に作成される怪しいファイルについて, KOJIMA
[検索ページ] [メール一覧]
Plamo ML 公開システム