Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

В результате атаки Windigo вредоносным ПО поражены более 25 ..., opennews (??), 19-Мрт-14, (0) [смотреть все] +1 ССЗБнеудивительно, что работает и на других платформах, где есть перл , Аноним (-), 13:01 , 19-Мрт-14, (2) –5 // Уважаемые, подскажите, пожалуйста, в каком редакторе такие диаграммы были сделан, Уважаемый (?), 23:43 , 27-Мрт-14, (117) продолжающейся с 2011 года широкомасштабной атаки на серверы, работающие под , JL2001 (ok), 13:06 , 19-Мрт-14, (3) +9 // Да дело в том что это серьёзная спланированная акция, в которой продуманы шаги в, NikolayV81 (ok), 14:17 , 19-Мрт-14, (28) –1 // Дары в роутерах админ админ не дают рута на сам сервант Проще с вантуза на кот, ананим (?), 20:40 , 19-Мрт-14, (87) +1 // Да оно может постепенно происходить, сначала роутеры, потом случайно переданные , Аноним (-), 21:10 , 19-Мрт-14, (88) –1 Рута У вас все в конторе им владеют что ли А то вон ssh по-умоланию рута вообщ, ананим (?), 21:26 , 19-Мрт-14, (92) +1 На счёт x64 ничего не написано Или я не увидел , Андрей (??), 13:15 , 19-Мрт-14, (4) // Да там нечего видеть Главным моментом всех подобных сообщений всегда является с, AlexYeCu_not_logged (?), 13:18 , 19-Мрт-14, (7) // пролюбленные ключи, AlexYeCu_not_logged (?), 13:20 , 19-Мрт-14, (9) +2 ESET pdf The traffic of the hosts infected by Perl Calfbot yields other inte, Andrey Mitrofanov (?), 14:30 , 19-Мрт-14, (32) // А разве пароли можно вообще проснифать вся ssh-сессия будет зашифрована , Адекват (ok), 17:05 , 19-Мрт-14, (57) // Хотя возможны другие варианты форварда, нежели запуск ssh на средней машине ф, Andrey Mitrofanov (?), 18:07 , 19-Мрт-14, (72) –2 Не путайте архитектуру х86 и разрядность x86_86 и x86_64 это все x86 - речь был, pansa (ok), 21:22 , 19-Мрт-14, (90) // x86_86 - это очень ооок самая крутая система , Мегазаычы (?), 00:05 , 20-Мрт-14, (93) +1 Не обнаружил данный ключ в мане http www opennet ru man shtml topic ssh catego, knike (?), 13:22 , 19-Мрт-14, (10) // Поражённый ман , Аноним (-), 13:27 , 19-Мрт-14, (13) +15 В результате атаки Windigo вредоносным ПО поражены более 25 ..., анонимус (??), 13:28 , 19-Мрт-14, (15) Сори Подумал, что наоборот, если ключ не доступен, то система поражена , knike (?), 13:29 , 19-Мрт-14, (16) // Поражён мозг у того, кто пишет слово недоступен как не доступен , Led (ok), 03:36 , 20-Мрт-14, (96) // недоступен не, доступен , vi (?), 10:49 , 20-Мрт-14, (105) Как я понял, речь о том, что в отличие от нормального ssh, в подмененном этот кл, zeroname (?), 13:31 , 19-Мрт-14, (17) это недокументированный ключ, он выводит сообщение о недоступности этой опции , axe (??), 13:31 , 19-Мрт-14, (18) +16 // и при этом программа завершает свою работу с магическим значением 255, Xasd (ok), 15:02 , 19-Мрт-14, (40) +1 В том-то и фишка , Censored (?), 13:35 , 19-Мрт-14, (19) Просто после выпуска сабжевой новости хакеры уже поменяли ключ на существующий р, Аноним (-), 16:46 , 19-Мрт-14, (55) +1 Не там G искал, Аноним (-), 18:59 , 19-Мрт-14, (81) +1 Ну хоть в чём-то пользователям iOS повезло , Фыр (?), 13:23 , 19-Мрт-14, (11) +21 // Ну так какая аудитория - такие и предпочтения Наверняка отправляют на ресурсы с, Аноним (-), 15:28 , 19-Мрт-14, (42) +7 А пользователи iOS перенаправлялись на порноресурсы я таки подозревал что они, cat666 (ok), 12:47 , 20-Мрт-14, (107) –1 Появлялись сведения о ярко выраженной приверженности пользователей iOS к прогрес, Anonym2 (?), 09:12 , 21-Мрт-14, (114) если уж списывать, то списывать полностью из статьи, Аноним (-), 13:27 , 19-Мрт-14, (12) // Это не во всех shell сработает, не нужно думать, что у всех bash , Аноним (-), 13:39 , 19-Мрт-14, (20) –1 // Я, конечно, не активист посикса и не знаток оного, но под busybox-sh и dash, впо, Andrey Mitrofanov (?), 14:47 , 19-Мрт-14, (36) // 2 1 - под csh tcsh не сработает, болезный , kazh (?), 16:46 , 19-Мрт-14, (54) –2 А ещё не работает в CP M и прочих древностях И что , Crazy Alex (ok), 17:09 , 19-Мрт-14, (59) –1 В вашем детсаде все что старее недели древность , kazh (?), 17:55 , 19-Мрт-14, (68) –2 в нашем технологичном комплексе принято за tcsh отправлять на лечение, а потом н, arisu (ok), 08:47 , 20-Мрт-14, (103) У вас, я смотрю, одни младореформаторы, с ликом Леннарда на стягах , Аноним (-), 00:57 , 21-Мрт-14, (110) вот я и говорю на лечение, потом на пенсию галлюцинации от большого здоровья н, arisu (ok), 00:59 , 21-Мрт-14, (111) csh variant ssh -G 124 grep -e illegal -e unknown dev null if , volax (?), 18:05 , 19-Мрт-14, (71) +1 Так вот, почему антивирусы тормозят систему Вообще странно писать про пароли на, backbone (ok), 13:43 , 19-Мрт-14, (21) // Я один такой Ищу друзей по нещастью , Грустный Нуб (?), 14:04 , 19-Мрт-14, (24) +3 // Ну, разве что вы ходите на сервера потенциального противника , backbone (ok), 14:07 , 19-Мрт-14, (25) +1 // Я на свои сервера по паролю хожу во многих случаях Правда, пароли длинные и я р, Аноним (-), 15:52 , 19-Мрт-14, (46) Ну брутят то как-раз пароли, это могут делать боты, так как другой информации, к, backbone (ok), 15:59 , 19-Мрт-14, (49) Кстати, а можно как-то пароли увидеть подбираемые , Адекват (ok), 17:27 , 19-Мрт-14, (60) Да, например с помощью смоляной ямы, Неадекват (?), 18:38 , 19-Мрт-14, (75) Гуглите по слову honeypot Еще когда-то был левый патч для sshd, обеспечивающий , Аноним (-), 00:59 , 21-Мрт-14, (112) Впрочем, при минимальных познаниях Си поправить можно и самому , Аноним (-), 01:00 , 21-Мрт-14, (113) Зачем вы вообще наружу SSH выставляете , SubGun (ok), 18:50 , 19-Мрт-14, (78) –1 А что есть более безопасные способы попадания на сервер с наружи , Anonymous528 (?), 19:03 , 19-Мрт-14, (82) portknock например, Анононо (?), 21:21 , 19-Мрт-14, (89) +1 Хотя бы стандартный порт сменить - это отсеит 99 bf, pansa (ok), 21:26 , 19-Мрт-14, (91) да не отсеивает оно его А так ну пусть 5 паролей из словоря попробует, через , Аноним (-), 00:41 , 20-Мрт-14, (95) Я тоже имею доступ к своим серверам по паролю Пользуюсь этой возможностью в кра, freehck (ok), 16:03 , 19-Мрт-14, (51) I have a bad news for you Вы даже не представляете, сколько админов ни разу в , XoRe (ok), 14:17 , 19-Мрт-14, (27) // А ведь это не сложнее, чем сделать chmod x kaspersky exe sh , backbone (ok), 14:24 , 19-Мрт-14, (31) // Это если знать, что делать Это как когда в первый раз самоподписанный ssl сертиф, XoRe (ok), 17:57 , 19-Мрт-14, (69) Ну, если взломают их сервер, то будет уроком - наймут специалиста для решения да, backbone (ok), 18:03 , 19-Мрт-14, (70) Правильно, используйте ключи - их на автомате пи ть проще , Аноним (-), 15:30 , 19-Мрт-14, (43) +1 // И храните их закрытую часть на сервере, да , backbone (ok), 15:36 , 19-Мрт-14, (44) // Ну рулить то вы откуда-то будете, правда А что помешает оттуда ключ свистнуть , Аноним (-), 15:48 , 19-Мрт-14, (45) Преимуществ больше Во-первых, отсеиваются боты, перебирающие пароли, которым не, backbone (ok), 15:56 , 19-Мрт-14, (47) Ничего мы не узнаем - почистят нам логи и поставят бекдор за полсекунды, так все, Адекват (ok), 17:31 , 19-Мрт-14, (62) Чтобы логи почистить, нужны локальные привилегии Если это взлом не для организац, backbone (ok), 17:33 , 19-Мрт-14, (64) а что, отправлять логи на другой сервер уже немодно , arisu (ok), 08:49 , 20-Мрт-14, (104) ORLY Логин нэйм нужен по любому И это два Кто разрешает заходить рутом 99 , Аноним (-), 18:45 , 19-Мрт-14, (77) Ну да, и я написал только то, что сразу в голову пришло Бот его подбирает Посмо, backbone (ok), 18:51 , 19-Мрт-14, (79) gt оверквотинг удален Секретней ключа ещё только лицензионная электронная цифр, Anonym2 (?), 09:40 , 21-Мрт-14, (115) Есть такая штука, называется пробросом ssh Она как раз позволяет ходить туда-сю, freehck (ok), 16:07 , 19-Мрт-14, (53) Че , Аноним (-), 18:39 , 19-Мрт-14, (76) ssh-agent forwarding, oraerkx (?), 14:26 , 20-Мрт-14, (108) Да Вот зайду я на вражеский сервер, сворую оттуда открытый ключ, и положу его н, freehck (ok), 16:05 , 19-Мрт-14, (52) +1 Дополнительный пинок к переходу на запароленные ssh ключи Вместе с ssh agent это, XoRe (ok), 14:19 , 19-Мрт-14, (29) // соединение с одним ключём через форвард - форвард агента если скомпрометиро, Andrey Mitrofanov (?), 14:58 , 19-Мрт-14, (38) // Не совсем понял, как можно увести ключ при форвардинге А вот выполнить команды -, XoRe (ok), 17:54 , 19-Мрт-14, (67) // Имел в виду, если включён форвард ssh-agent-а -- как по ссылке ниже Впрочем, эти, Andrey Mitrofanov (?), 18:57 , 19-Мрт-14, (80) А зачем - решета не нада, достататочна одын дырка, чтоб оказаться в г - , SergMarkov (ok), 17:32 , 19-Мрт-14, (63) За что им только деньги плотятЪ Даже мои тапочки чуть не лопнули от смеха Это, vi (?), 14:23 , 19-Мрт-14, (30) –4 2 вопроса 1 как можно перхватить пароль пароль Я думал, что для ssh его не пер, Аноним (-), 14:31 , 19-Мрт-14, (33) // ESET долго надеялся на чудо, но наконец был вынужден признать правду антивирус , тоже Аноним (ok), 14:44 , 19-Мрт-14, (34) +6 // Нет, ну почему же ClamAv для проверки ворд-эксель-поверпоинт и прочее для винд, Адекват (ok), 17:37 , 19-Мрт-14, (66) На винде перехватывают ввод пароля при помощи кейлоггера, а на сервере перехваты, Аноним (-), 14:58 , 19-Мрт-14, (39) // Тут все понятно Это как То есть хостерам уже нельзя доверять Куда катится этот, vi (?), 15:58 , 19-Мрт-14, (48)   // Посыпаю свою голову пеплом, root-овый процесс может из RAM все считать или я не, vi (?), 16:01 , 19-Мрт-14, (50)   Не пускай там ssh ssh conf ProxyCommand netcat и второй ssh - тоже твой локальн, Andrey Mitrofanov (?), 18:32 , 19-Мрт-14, (74) –1   Андрей, если бы оно ТАК работало, это было бы по меньшей мере глупо Вот хорошая , freehck (ok), 00:25 , 20-Мрт-14, (94)   Спасибо Я нёс полную чушь, признаю Private ключ не унесут Могут рас- или зашиф, Andrey Mitrofanov (?), 19:16 , 21-Мрт-14, (116)   Это единственное, о чем было бы интересно почитать Когда есть пароль -- можно д, skb7 (ok), 14:52 , 19-Мрт-14, (37) +2 Замечена еще какая-то хрень Чаще всего на бсдшных машинах из exUSSR прется RU,, Аноним (-), 15:06 , 19-Мрт-14, (41) у меня на сервере под FreeBSD дважды за год добавляли левый модуль апача, и до, dimasp (?), 16:56 , 19-Мрт-14, (56) К слову о скриптах - скрипты они такие, что каждый админ пишет под себя, и велик, Адекват (ok), 17:09 , 19-Мрт-14, (58) против лома нет приема - можно иметь теоретически безупречную ось и кривую с, SergMarkov (ok), 17:30 , 19-Мрт-14, (61) // и кривой маздай у админа, Сергей (??), 20:26 , 19-Мрт-14, (86) достаточно написать востребованное приложение, через некоторое время всунуть туд, Аноним (-), 18:09 , 19-Мрт-14, (73) –1 // самая подстава в том что хозяин репа может и не знать что в его датацентр приход, Аноним (-), 20:01 , 19-Мрт-14, (85) На самом деле это обычный почтовый клиент - там просто в 14 строчке один символ , anonymous (??), 19:35 , 19-Мрт-14, (83) Эхх, всё таки придётся признать уязвимости в Linux и FreeBSD Эти системы оказы, EuPhobos (ok), 19:53 , 19-Мрт-14, (84) // пользователей , Чепукот (?), 07:37 , 20-Мрт-14, (100) Падение меньше, чем на 50 считаем ростом 25 тысяч заражённых серверов считаем , клоун Стаканчик (?), 17:49 , 20-Мрт-14, (109) –1 Ну и параноики же работают в этой компании ESET Надо же слепить в кучу тысячи н, Пушистик (ok), 06:45 , 20-Мрт-14, (98) учишь эникейщиков не вводить никакие пароли в винду, учишь 8212 а толку 8230, arisu (ok), 08:37 , 20-Мрт-14, (101) Что-то та часть, что касается подмены одной из либ SSH очень мне напоминает Linu, lucentcode (ok), 08:45 , 20-Мрт-14, (102) 25000 серверов А сколько это от общего количества Капля в море или ощутимое ко, Аноним (-), 11:41 , 20-Мрт-14, (106) 2,3,4,10,11,12,21,29,30,33,37,41,56,58,61,73,83,84,98,101,102,106

Сообщения

[Сортировка по времени | RSS]

	48. "В результате атаки Windigo вредоносным ПО поражены более 25 ..."	+/–
	Сообщение от vi (?), 19-Мрт-14, 15:58
	>> 1) как можно перхватить пароль пароль? Я думал, что для ssh его >> не перехватить даже если сеть доступна и всякие "злые люди между >> тобой и сервером". > На винде перехватывают ввод пароля при помощи кейлоггера, Тут все понятно. > а на сервере перехватывают > пароль входа на другой сервер через подмену утилиты ssh. Это как? То есть хостерам уже нельзя доверять? Куда катится этот мир? :( Может загружать в свой хомяк статически слинкованный клиент ssh? >> Т к все нормальные люди используют ключи, то вломаны, очевидно, всякие хостинги. > Если пользователь зашёл на внешнюю систему по ключу, но с использованием троянской > утилиты ssh, то злодей получит и ключи удалённой строны. Немного слаб в этой теме. Попроще, каким образом? >> Тогда как они заменяют на них модули и апач если у >> юзера нет прав? > Видимо модуль внедряют на системах с root/root, входомами под root через ssh > или с открытым доступом через sudo. На остальных просто спамерский бот > ставят. Все может быть. Но как лучше мониторить? Простые методы вперед.
	Ответить | Правка | Наверх | Cообщить модератору

	50. "В результате атаки Windigo вредоносным ПО поражены более 25 ..."	+/–
	Сообщение от vi (?), 19-Мрт-14, 16:01
	>> а на сервере перехватывают >> пароль входа на другой сервер через подмену утилиты ssh. > Это как? То есть хостерам уже нельзя доверять? Куда катится этот мир? > :( > Может загружать в свой хомяк статически слинкованный клиент ssh? Посыпаю свою голову пеплом, root-овый процесс может из RAM все считать (или я не прав).
	Ответить | Правка | Наверх | Cообщить модератору

	74. "В результате атаки Windigo вредоносным ПО поражены более 25 ..."	–1 +/–
	Сообщение от Andrey Mitrofanov (?), 19-Мрт-14, 18:32
	>>> а на сервере перехватывают >>> пароль входа на другой сервер через подмену утилиты ssh. >> Это как? То есть хостерам уже нельзя доверять? Куда катится этот мир? >> :( >> Может загружать в свой хомяк статически слинкованный клиент ssh? Не пускай там ssh (ssh.conf+ProxyCommand+netcat и второй ssh - тоже твой локальный). Не форварди агента. Не... ходи в интернеты. Не смотри прон. Не возжелай.... ЭЭЭэ, о чём это мы?? > Посыпаю свою голову пеплом, root-овый процесс может из RAM все считать (или > я не прав). Посыпай дальше: форвард ssh-agent-а на среднюю машину при запуске там ssh для соединения с целью получает [гм, может получать -- SUBJ-и тырили пароли, вроде] от лок.агента пользователя его приват-ключ. Так же, как локальный ssh от локального агента.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "В результате атаки Windigo вредоносным ПО поражены более 25 ..."	+/–
	Сообщение от freehck (ok), 20-Мрт-14, 00:25
	> Посыпай дальше: форвард ssh-agent-а на среднюю машину при запуске там ssh для > соединения с целью получает [гм, может получать -- SUBJ-и тырили пароли, > вроде] от лок.агента пользователя его приват-ключ. Так же, как локальный ssh > от локального агента. Андрей, если бы оно ТАК работало, это было бы по меньшей мере глупо. Вот хорошая статья на этот счёт: http://www.clockwork.net/blog/2012/09/28/602/ssh_agent_hijac...
	Ответить | Правка | Наверх | Cообщить модератору

	116. "В результате атаки Windigo вредоносным ПО поражены более 25 ..."	+/–
	Сообщение от Andrey Mitrofanov (?), 21-Мрт-14, 19:16
	>> Посыпай дальше: форвард ssh-agent-а на среднюю машину при запуске там ssh для > Андрей, если бы оно ТАК работало, > Вот хорошая статья на этот счёт: Спасибо. Я нёс полную чушь, признаю. Private ключ не унесут. Могут рас- или зашифровать с его использованием любое сообщение или залогиниться по нему на любой сервер, где это прокатит. //Правильно эти ботнетчики не заморачиваются. Пока root пароли снифятся, чего в эту криптографию лезть.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема