[Ciotoflow] Il mercoledi' del Malware

Zalve lista! Gli honeypot kippo che ho piazzato un po' in giro iniziano a dare i
loro frutti! Oggi ho fatto la conoscenza di rootkit chiamato Opyum Team!

Come funziona:

Compromette un sistema in ssh con un attacco a dizionario sull'account root.
Wgetta da un server dei file con estensione .jpg che altro non sono che dei tar
con uno scanner ssh,e qualche script per cercare di non farsi cancellare cosi'
facilmente.Inoltre aggiunge un cron e manda una mail grezzissima a root O_o,ma
sopratutto aggiunge un utente con uid 0 al sistema.

Cercando l'md5 dei file scaricati sull'honeypot ho trovato questo [0] e qui [1]
trovate un'analisi piu' dettagliata (anche se qui lo sha1 non coincide).

La cosa carina da fare imho e scrivere un programmino che,partendo dalla
macchina che ha attaccato l'honeypot, proceda a ritroso negli ssh dei server
compromessi rimuovendo il rootkit. Pero' ovviamente non si fara' visto che per
la legge italiana mi sa che e' illegale :).

Qui [2] trovate l'archivio cifrato con i files,i dump in esadecimale e assembly
e la lista di password. Il file e' cifrato con mcrypt per evitare che quelli che
ci hostino scannando con rkhunter pensino siamo infetti o peggio :). La pass e':

Ci0t0malware!

Se qualcuno se la sente di reversare e commentare il dump e' il benvenuto (non
e' cazzo il mio) :) . Io molto piu' grezzamente pensavo di mettere su una vm
mercoledi' e di infettarla per analizzare cosa accade (sia a livello di dump di
rete che di modifiche al filesystem). Quindi se il malware vi eccita con strane
perversioni possiamo fare una seduta di masturbazione collettiva mercoledi'
in p2 ;)


[0]http://forums.malwarebytes.org/index.php?showtopic=117656
[1]https://www.linuxquestions.org/questions/linux-security-4/server-hacked-by-opyum-874288/
[2] http://flow.ciotoni.net/malware.tar.nc