* [devel] IA: recent compromises around team members
@ 2004-10-07 20:13 Dmitry V. Levin
2004-10-11 13:59 ` Artem Pastukhov
0 siblings, 1 reply; 3+ messages in thread
From: Dmitry V. Levin @ 2004-10-07 20:13 UTC (permalink / raw)
To: ALT Devel discussion list
[-- Attachment #1: Type: text/plain, Size: 1137 bytes --]
Hi,
Возможно, вы слышали, что несколько серверов, имеющих непосредственное
отношение к членам team, расположенным (физически) далеко друг от друга,
были недавно скомпрометированы. На данный момент у меня нет достоверной
информации о том, что было использовано для получения доступа, при том что
почерк во всех случаях схожий.
Из общих черт, на которые стоит обратить внимание:
- На всех скомпрометированных серверах openssh принимал соединения извне,
и при этом был настроен на "PermitRootLogin yes" в сочетании с
"PasswordAuthentication yes". Да, это противоречит здравому смыслу, это
отличается от настроек по умолчанию, но так было.
- На всех скомпрометированных серверах после взлома предпринималась
попытка скрыть следы проникновения из wtmp(5). При этом в лог попадала
строка "syslogin_perform_logout: logout() returned an error".
- Ни на одной из систем не использовался osec(8).
Рекомендую при случае проверить ваши системы на предмет взлома. :)
Если у вас в логе присутствует "syslogin_perform_logout", то это повод
отключить систему от сети и написать на security@altlinux.
--
ldv
[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 3+ messages in thread
* Re: [devel] IA: recent compromises around team members
2004-10-07 20:13 [devel] IA: recent compromises around team members Dmitry V. Levin
@ 2004-10-11 13:59 ` Artem Pastukhov
2004-10-12 11:35 ` Stanislav Ievlev
0 siblings, 1 reply; 3+ messages in thread
From: Artem Pastukhov @ 2004-10-11 13:59 UTC (permalink / raw)
To: ALT Devel discussion list
Надеюсь с этих машин ничего в новый Мастер не попало?
В сообщении от Пятница 08 Октябрь 2004 00:13 Dmitry V. Levin написал(a):
> Hi,
>
> Возможно, вы слышали, что несколько серверов, имеющих непосредственное
> отношение к членам team, расположенным (физически) далеко друг от друга,
> были недавно скомпрометированы. На данный момент у меня нет достоверной
> информации о том, что было использовано для получения доступа, при том что
> почерк во всех случаях схожий.
>
> Из общих черт, на которые стоит обратить внимание:
> - На всех скомпрометированных серверах openssh принимал соединения извне,
> и при этом был настроен на "PermitRootLogin yes" в сочетании с
> "PasswordAuthentication yes". Да, это противоречит здравому смыслу, это
> отличается от настроек по умолчанию, но так было.
> - На всех скомпрометированных серверах после взлома предпринималась
> попытка скрыть следы проникновения из wtmp(5). При этом в лог попадала
> строка "syslogin_perform_logout: logout() returned an error".
> - Ни на одной из систем не использовался osec(8).
>
> Рекомендую при случае проверить ваши системы на предмет взлома. :)
>
> Если у вас в логе присутствует "syslogin_perform_logout", то это повод
> отключить систему от сети и написать на security@altlinux.
--
С уважением
Артем Пастухов, past (at) yam.ru
YAM International
^ permalink raw reply [flat|nested] 3+ messages in thread
end of thread, other threads:[~2004-10-12 11:35 UTC | newest]
Thread overview: 3+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2004-10-07 20:13 [devel] IA: recent compromises around team members Dmitry V. Levin
2004-10-11 13:59 ` Artem Pastukhov
2004-10-12 11:35 ` Stanislav Ievlev
ALT Linux Team development discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \
devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru
public-inbox-index devel
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.devel
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git