home *** CD-ROM | disk | FTP | other *** search
/ Internet Info 1994 March / Internet Info CD-ROM (Walnut Creek) (March 1994).iso / security / doc / cert_advisories / CA-92:14.Altered.System.Binaries.Incident < prev    next >
Encoding:
Text File  |  1992-06-21  |  6.0 KB  |  141 lines
  1. ===========================================================================
  2. CA-92:14                        CERT Advisory
  3.                     June 22, 1992
  4.                Altered System Binaries Incident
  5.  
  6. ---------------------------------------------------------------------------
  7.  
  8. The Computer Emergency Response Team/Coordination Center (CERT/CC) has
  9. received information regarding a series of significant intrusion
  10. incidents on the Internet.  Systems administrators should be aware
  11. that many systems on the Internet have been compromised due to this
  12. activity.  To identify whether your systems have been affected by the
  13. activity we recommend that all system administrators check for the
  14. signs of intrusion detailed in this advisory.
  15.  
  16. This advisory describes the activities that have been identified as
  17. part of this particular incident.  This does not address the
  18. possibility that systems may have been compromised due to other,
  19. unrelated intrusion activity.
  20.  
  21. ---------------------------------------------------------------------------
  22.  
  23. I.   Description
  24.  
  25.      The intruders gain initial access to a host by discovering a
  26.      password for a user account on the system, exploiting a "+" in 
  27.      the "/etc/hosts.equiv" file, or any ".rhosts" files on the
  28.      system.  The intruder then connects to the system using rsh and
  29.      attempts to become root on the compromised system.  An alias of
  30.      "decode" may used to gain root privileges.
  31.  
  32. II.  Impact
  33.     
  34.      Having gained root access on a system, the intruders may make
  35.      unauthorized changes to system binaries that can capture account
  36.      information for both local and remote systems.  In addition, the
  37.      intruder adds "+ +" to any ".rhosts" files to which the intruder
  38.      has access.
  39.  
  40. III. Solution 
  41.  
  42.      A. Check your systems for signs of intrusion due to this incident.
  43.  
  44.         1. Check the login, telnet, and uucpd binaries (for example,
  45.        "/bin/login", "/usr/ucb/telnet", and "/usr/etc/in.uucpd" on
  46.        Sun systems) against copies from distribution media.  Note that
  47.        a check for creation or modification times and sizes is
  48.        not sufficient to assure that the files have not been modified.
  49.        The CERT/CC suggests that you compare the output of the
  50.            "sum(1)" or "cmp(1)" command on both the distribution and
  51.            installed versions of the binaries.
  52.  
  53.         2. If the check from (A.1) indicates that your binaries have been
  54.        modified, check for the presence of a password
  55.        log file.  Since the name of the logfile is often changed,
  56.        the name of the file should be obtained using the
  57.        "strings(1)" command on the Trojan login, uucpd, or telnet
  58.        binary.  Examples of filenames used on other systems are:
  59.  
  60.                                "/usr/spool/. " (dot space)
  61.                                "/var/spool/secretmail/.l"
  62.                                "/var/spool/secretmail/.log"
  63.                                "/var/spool/secretmail/.tty"
  64.                                "/var/spool/secretmail/.lock"
  65.                                "/usr/tmp/.log"
  66.                                "/usr/spool/uucp/.sys"
  67.                                "/usr/spool/uucppublic/.hushlogin"
  68.                    "/usr/uucp/.sys"
  69.                                "/mnt2/lost+found/.tmp/.log"
  70.                                "/usr/spool/mqueue/.AFG001"
  71.  
  72.        Verify that the contents of files found using the "strings(1)"
  73.        command do not contain valid username/password combinations.  
  74.  
  75.         3. Check for the presence of "+" in the "/etc/hosts.equiv"
  76.        file.  
  77.  
  78.        NOTE that Sun Microsystems installs the SunOS
  79.        operating system with a default "+" in the /etc/hosts.equiv
  80.        file for easy network access.  This should be removed
  81.        unless required in your operating environment and protected
  82.        by a firewall network configuration.  Leaving the "+"
  83.        intact will allow any non-root user on the Internet to
  84.        login to the system without a password.
  85.  
  86.         4. Check the home directory for each entry in the "/etc/passwd"
  87.            file for the presence of a ".rhosts" file containing
  88.            "+ +" (plus space plus).
  89.  
  90.         5. Assure that your "/etc/fstab", "/etc/inetd.conf", and
  91.        "/etc/exports" files have not been modified.
  92.  
  93.      B. Take the following steps to secure your systems.
  94.  
  95.         1. Save copies of the identified files to removable media and 
  96.        remove any password log files as found in (A.2) above.
  97.  
  98.         2. Replace any modified binaries with copies from
  99.            distribution media.
  100.  
  101.         3. Remove the "+" entry from the "/etc/hosts.equiv"
  102.        file and the "+ +" (plus space plus) entry from any
  103.        ".rhosts" files.  
  104.  
  105.         4. Change ownership of the "/etc" directory to userid "root"
  106.        if it is owned by "bin" (as distributed by Sun).
  107.            
  108.         5. Change every password on the system and assure that the new 
  109.        passwords are robust using a package such as Crack or Cops
  110.        (available via anonymous ftp from cert.org).
  111.  
  112.     6. Inspect and restore any changes made to your "/etc/fstab", 
  113.        "/etc/exports", or "/etc/inetd.conf" files.  If any
  114.        modifications are found in these files, you will need to
  115.        unmount file systems and restart daemons once the files
  116.        have been restored.  Alternatively the system could be
  117.        rebooted.
  118.     
  119.     7. Remove the "decode" alias from your global mail aliases
  120.        file ("/etc/aliases" on Sun systems, "/usr/lib/aliases" on
  121.        other UNIX systems).
  122. ---------------------------------------------------------------------------
  123.  
  124. If you believe that your system has been compromised, contact CERT/CC or
  125. your representative in FIRST (Forum of Incident Response and Security Teams).
  126.  
  127. Internet E-mail: cert@cert.org
  128. Telephone: 412-268-7090 (24-hour hotline)
  129.            CERT/CC personnel answer 7:30 a.m.-6:00 p.m. EST(GMT-5)/EDT(GMT-4),
  130.            on call for emergencies during other hours.
  131.  
  132. Computer Emergency Response Team/Coordination Center (CERT/CC)
  133. Software Engineering Institute
  134. Carnegie Mellon University
  135. Pittsburgh, PA 15213-3890
  136.  
  137. Past advisories, information about FIRST representatives, and other
  138. information related to computer security are available for anonymous ftp
  139. from cert.org (192.88.209.5).
  140.  
  141.