Turvaaudit - andke abi
Moderaator: Moderaatorid
Turvaaudit - andke abi
Lahendatud.
Viimati muutis karlsson, 14.01.2020, 07:57, muudetud 1 kord kokku.
Ühe vihje võin anda - kui HDD küljes pole - kuid samas pahalane möllab.karlsson kirjutas:Nii.. Ühesõnaga uss on siis alles. Kuidas lahti saaks. Sees on ainult Live-cd plaat ja kõvaketas polnud ühendatud selle nimekirja ajal. Ainult üks mälupulk. Millest alustada?
Täpdustuseks olgu öeldud, et Ubuntu 19.10 Mate on. Marco peaks kuuluma selle juurde.
mtab on selline:Kood: Vali kõik
sysfs /sys sysfs rw,nosuid,nodev,noexec,relatime 0 0 proc /proc proc rw,nosuid,nodev,noexec,relatime 0 0 udev /dev devtmpfs rw,nosuid,relatime,size=8144032k,nr_inodes=2036008,mode=755 0 0 devpts /dev/pts devpts rw,nosuid,noexec,relatime,gid=5,mode=620,ptmxmode=000 0 0 tmpfs /run tmpfs rw,nosuid,noexec,relatime,size=1637936k,mode=755 0 0 /dev/sr0 /cdrom iso9660 ro,noatime,nojoliet,check=s,map=n,blocksize=2048 0 0 /dev/loop0 /rofs squashfs ro,noatime 0 0 /cow / overlay rw,relatime,lowerdir=//filesystem.squashfs,upperdir=/cow/upper,workdir=/cow/work 0 0 securityfs /sys/kernel/security securityfs rw,nosuid,nodev,noexec,relatime 0 0 tmpfs /dev/shm tmpfs rw,nosuid,nodev 0 0 tmpfs /run/lock tmpfs rw,nosuid,nodev,noexec,relatime,size=5120k 0 0 tmpfs /sys/fs/cgroup tmpfs ro,nosuid,nodev,noexec,mode=755 0 0 cgroup2 /sys/fs/cgroup/unified cgroup2 rw,nosuid,nodev,noexec,relatime,nsdelegate 0 0 cgroup /sys/fs/cgroup/systemd cgroup rw,nosuid,nodev,noexec,relatime,xattr,name=systemd 0 0 pstore /sys/fs/pstore pstore rw,nosuid,nodev,noexec,relatime 0 0 bpf /sys/fs/bpf bpf rw,nosuid,nodev,noexec,relatime,mode=700 0 0 cgroup /sys/fs/cgroup/blkio cgroup rw,nosuid,nodev,noexec,relatime,blkio 0 0 cgroup /sys/fs/cgroup/hugetlb cgroup rw,nosuid,nodev,noexec,relatime,hugetlb 0 0 cgroup /sys/fs/cgroup/perf_event cgroup rw,nosuid,nodev,noexec,relatime,perf_event 0 0 cgroup /sys/fs/cgroup/net_cls,net_prio cgroup rw,nosuid,nodev,noexec,relatime,net_cls,net_prio 0 0 cgroup /sys/fs/cgroup/cpu,cpuacct cgroup rw,nosuid,nodev,noexec,relatime,cpu,cpuacct 0 0 cgroup /sys/fs/cgroup/memory cgroup rw,nosuid,nodev,noexec,relatime,memory 0 0 cgroup /sys/fs/cgroup/rdma cgroup rw,nosuid,nodev,noexec,relatime,rdma 0 0 cgroup /sys/fs/cgroup/pids cgroup rw,nosuid,nodev,noexec,relatime,pids 0 0 cgroup /sys/fs/cgroup/devices cgroup rw,nosuid,nodev,noexec,relatime,devices 0 0 cgroup /sys/fs/cgroup/cpuset cgroup rw,nosuid,nodev,noexec,relatime,cpuset 0 0 cgroup /sys/fs/cgroup/freezer cgroup rw,nosuid,nodev,noexec,relatime,freezer 0 0 systemd-1 /proc/sys/fs/binfmt_misc autofs rw,relatime,fd=30,pgrp=1,timeout=0,minproto=5,maxproto=5,direct,pipe_ino=16106 0 0 debugfs /sys/kernel/debug debugfs rw,nosuid,nodev,noexec,relatime 0 0 hugetlbfs /dev/hugepages hugetlbfs rw,relatime,pagesize=2M 0 0 mqueue /dev/mqueue mqueue rw,nosuid,nodev,noexec,relatime 0 0 tmpfs /tmp tmpfs rw,nosuid,nodev,relatime 0 0 configfs /sys/kernel/config configfs rw,nosuid,nodev,noexec,relatime 0 0 fusectl /sys/fs/fuse/connections fusectl rw,nosuid,nodev,noexec,relatime 0 0 tmpfs /run/user/999 tmpfs rw,nosuid,nodev,relatime,size=1637932k,mode=700,uid=999,gid=999 0 0 gvfsd-fuse /run/user/999/gvfs fuse.gvfsd-fuse rw,nosuid,nodev,relatime,user_id=999,group_id=999 0 0 /dev/loop1 /snap/core/7917 squashfs ro,nodev,relatime 0 0 /dev/loop2 /snap/software-boutique/39 squashfs ro,nodev,relatime 0 0 /dev/loop3 /snap/ubuntu-mate-welcome/420 squashfs ro,nodev,relatime 0 0 /dev/sda1 /media/usb fuseblk rw,relatime,user_id=0,group_id=0,allow_other,blksize=4096 0 0
Ma ei tea kas ja kuidas Linuxi all on - kuid Windowsis on selline asi olemas, et on olemas n-ö UEFI-viirused.
Ehk siis viirused mis istuvad hoopis arvuti UEFi-s ja sel juhul tõepoolest trikitab sealtkaudu.
PS: on üsna tüütu tegelane.
Kunagi kui kohtasin (enda ASRock emaplaadiga), siis tuli selle emaplaadi UEFI üle fläshida.
Viirusega vaevalt, et siinkohal tegemist on. Küllap on paroolid lekkinud ja nüüd keegi toimetab. Ega muud kui paroolide vahetus esimese asjana.
P.S pordid on siiski avatud ikka veel. Saad ka telia iseteeninduses need sulgeda.
Ruuterist keera ka kinni kui pordid 53, 80, 443 ja 8080 ei pea lahti olema.
P.S pordid on siiski avatud ikka veel. Saad ka telia iseteeninduses need sulgeda.
Ruuterist keera ka kinni kui pordid 53, 80, 443 ja 8080 ei pea lahti olema.
Kui sa lihtsalt niisama firmware faili plaadile kõrvetasid, siis nii see tõesti ei tööta, aga üldiselt saab ikka plaadi pealt uuendada.
Aga kogu kirjeldust lugedes tundub mulle, et keegi su oma sisevõrgus või wifi leviala ulatuses mängib tola.
Kasvõi see, et "viirus" läks ruuteri sätteid muutma - ei kõla kuidagi usutavalt.
Aga kogu kirjeldust lugedes tundub mulle, et keegi su oma sisevõrgus või wifi leviala ulatuses mängib tola.
Kasvõi see, et "viirus" läks ruuteri sätteid muutma - ei kõla kuidagi usutavalt.
Kõikidesse Telia poolt jagatud ruuteritesse saab läbi telia serveri sisse sõltumatta sellest kas pordid on kinni või lahti, auk on firmwaresse sisse ehitatud ( info telia tehnikult ). Tehnilise abi korraldamiseks, kuidas teiste firmadega on ei tea. Võib proovida kaks ruuterit järjestikku panna siis turvaaugud ei ole kohakuti.
Paar aastat tagasi oli kogemus Telia ruuteriga: muutsin seadeid, panin pordid kinni. Paar kuud hiljem avastasin, et pordid on uuesti lahti, küsisin pererahvalt kas keegi tegi seda - vastus ei. See võibolla mingi test programm mis kolistab ruuterites, kontrollib korrasolekut ja resetib seadeid.
Paar aastat tagasi oli kogemus Telia ruuteriga: muutsin seadeid, panin pordid kinni. Paar kuud hiljem avastasin, et pordid on uuesti lahti, küsisin pererahvalt kas keegi tegi seda - vastus ei. See võibolla mingi test programm mis kolistab ruuterites, kontrollib korrasolekut ja resetib seadeid.
'karlsson' annad meile vähe infot. Raske on midagi konkreetset ja paika panevat arvata ning ütelda.
Antud juhul tuleb sul hakata Hercule Poirot'iks. Peaksid esitama endale järgmise stiiliga küsimusi.
Millest tekkisid kahtlused ja arvamused et koduvõrk on häkitud/kräkitud?
Milline on antud hetkel koduvõrgu olukord?
Milline arvuti millise Linux või Windows distroga on häkitud/kräkitud (riistvara/tarkvara)?
Millise kuupäeva ja aasta seisuga on kahtlase arvuti Bios ehk saab uuendada?
Kas koduvõrgus on teisi seadmeid mis suhtlevad välisvõrgu ehk Internet'iga?
Kes ja kuidas kasutab kodust arvutivõrku?
Kuidas paistavad minu koduruuteri TCP pordid ja teenused välisvõrgu ehk Internet'i vaates?
jne.
Kodust arvutivõrku saad lihtsalt auditeerida kui installid neutraalsesse Linux arvutisse näiteks 'ntopng' või lihtsalt skanneerid 'nmap'iga üle oma koduse arvutivõrgu et avastada sulle tundmatuid võrguseadmeid ja teenuseid. Kuni selleni välja, et skanneerid üle Linux põhise 'clamtk' antiviirusega arvuti kõvaketta või kõvakettad. Vaata üle Linux 'tmp' kataloog, vajadusel kustuta selle sisu sest ka seal võib istuda "käomuna". Kui muud üle ei jää tee südame rahustuseks kahtlasele arvutile clean install.
Näiteks selleks, et teada saada oma koduse ruuteri välist IP aadressi võid kasutada kas ruuteri Admin liidest, Linux käsurea terminali (curl ifconfig.co või dig +short myip.opendns.com @resolver1.opendns.com) või kasutada brauserit ning minna kodukale MyIP.
Seejärel avad Linux terminali ja sisestad oma ruuteri välise IP aadressi ehk siis nmap'id läbi kõik 65535 TCP porti (võtab kaua aega, 15-30 min).
$ sudo nmap -p- ruuteri_väline_IP_aadress
Koduse arvutivõrgu võid kiirelt läbi skanneerida sama laadselt.
$ sudo nmap -T5 192.168.0.0/24
või
$ sudo nmap -T5 192.168.1.0/24
või ...kõik oleneb sisevõrgu IP aadress vahemikust.
ISP näeb oma vaatest igal juhul sinu kodu arvutivõrgu seadmeid. ISP teeb ka kodu ruuterite firmware update'sid. Kuid kasutaja arvutid ja nutiseadmed jäävad omanike hooldada. Ka ei vastuta ISP selle eest kuidas kodukasutaja konfigureerib üle oma koduse ruuteri (tcp portide suunamised jne) või arvutid. Kui kasutaja teeb kas lohakusest või teadmatusest mingi näpuka siis jääb ta sisuliselt "jumala hooleks". Pole eriti tervislik püksata viibida Internetis.
Antud juhul tuleb sul hakata Hercule Poirot'iks. Peaksid esitama endale järgmise stiiliga küsimusi.
Millest tekkisid kahtlused ja arvamused et koduvõrk on häkitud/kräkitud?
Milline on antud hetkel koduvõrgu olukord?
Milline arvuti millise Linux või Windows distroga on häkitud/kräkitud (riistvara/tarkvara)?
Millise kuupäeva ja aasta seisuga on kahtlase arvuti Bios ehk saab uuendada?
Kas koduvõrgus on teisi seadmeid mis suhtlevad välisvõrgu ehk Internet'iga?
Kes ja kuidas kasutab kodust arvutivõrku?
Kuidas paistavad minu koduruuteri TCP pordid ja teenused välisvõrgu ehk Internet'i vaates?
jne.
Kodust arvutivõrku saad lihtsalt auditeerida kui installid neutraalsesse Linux arvutisse näiteks 'ntopng' või lihtsalt skanneerid 'nmap'iga üle oma koduse arvutivõrgu et avastada sulle tundmatuid võrguseadmeid ja teenuseid. Kuni selleni välja, et skanneerid üle Linux põhise 'clamtk' antiviirusega arvuti kõvaketta või kõvakettad. Vaata üle Linux 'tmp' kataloog, vajadusel kustuta selle sisu sest ka seal võib istuda "käomuna". Kui muud üle ei jää tee südame rahustuseks kahtlasele arvutile clean install.
Näiteks selleks, et teada saada oma koduse ruuteri välist IP aadressi võid kasutada kas ruuteri Admin liidest, Linux käsurea terminali (curl ifconfig.co või dig +short myip.opendns.com @resolver1.opendns.com) või kasutada brauserit ning minna kodukale MyIP.
Seejärel avad Linux terminali ja sisestad oma ruuteri välise IP aadressi ehk siis nmap'id läbi kõik 65535 TCP porti (võtab kaua aega, 15-30 min).
$ sudo nmap -p- ruuteri_väline_IP_aadress
Koduse arvutivõrgu võid kiirelt läbi skanneerida sama laadselt.
$ sudo nmap -T5 192.168.0.0/24
või
$ sudo nmap -T5 192.168.1.0/24
või ...kõik oleneb sisevõrgu IP aadress vahemikust.
ISP näeb oma vaatest igal juhul sinu kodu arvutivõrgu seadmeid. ISP teeb ka kodu ruuterite firmware update'sid. Kuid kasutaja arvutid ja nutiseadmed jäävad omanike hooldada. Ka ei vastuta ISP selle eest kuidas kodukasutaja konfigureerib üle oma koduse ruuteri (tcp portide suunamised jne) või arvutid. Kui kasutaja teeb kas lohakusest või teadmatusest mingi näpuka siis jääb ta sisuliselt "jumala hooleks". Pole eriti tervislik püksata viibida Internetis.
ertserts@linuxialune:~$ echo;echo Local and Remote IP connections:;netstat -at|sort -k5|grep ESTABLISHED|cut -c20-80;echo
Kui eespoolt hoolega loed, siis "audis" on ka üks selline arvuti millel pole sel ajal isegi ketast küljes.ertserts kirjutas:'karlsson' annad meile vähe infot. Raske on midagi konkreetset ja paika panevat arvata ning ütelda.
Antud juhul tuleb sul hakata Hercule Poirot'iks. Peaksid esitama endale järgmise stiiliga küsimusi.
Millest tekkisid kahtlused ja arvamused et koduvõrk on häkitud/kräkitud?
Milline on antud hetkel koduvõrgu olukord?
Milline arvuti millise Linux või Windows distroga on häkitud/kräkitud (riistvara/tarkvara)?
Millise kuupäeva ja aasta seisuga on kahtlase arvuti Bios ehk saab uuendada?
Kas koduvõrgus on teisi seadmeid mis suhtlevad välisvõrgu ehk Internet'iga?
Kes ja kuidas kasutab kodust arvutivõrku?
Kuidas paistavad minu koduruuteri TCP pordid ja teenused välisvõrgu ehk Internet'i vaates?
jne.
Kodust arvutivõrku saad lihtsalt auditeerida kui installid neutraalsesse Linux arvutisse näiteks 'ntopng' või lihtsalt skanneerid 'nmap'iga üle oma koduse arvutivõrgu et avastada sulle tundmatuid võrguseadmeid ja teenuseid. Kuni selleni välja, et skanneerid üle Linux põhise 'clamtk' antiviirusega arvuti kõvaketta või kõvakettad. Vaata üle Linux 'tmp' kataloog, vajadusel kustuta selle sisu sest ka seal võib istuda "käomuna". Kui muud üle ei jää tee südame rahustuseks kahtlasele arvutile clean install.
Näiteks selleks, et teada saada oma koduse ruuteri välist IP aadressi võid kasutada kas ruuteri Admin liidest, Linux käsurea terminali (curl ifconfig.co või dig +short myip.opendns.com @resolver1.opendns.com) või kasutada brauserit ning minna kodukale MyIP.
Seejärel avad Linux terminali ja sisestad oma ruuteri välise IP aadressi ehk siis nmap'id läbi kõik 65535 TCP porti (võtab kaua aega, 15-30 min).
$ sudo nmap -p- ruuteri_väline_IP_aadress
Koduse arvutivõrgu võid kiirelt läbi skanneerida sama laadselt.
$ sudo nmap -T5 192.168.0.0/24
või
$ sudo nmap -T5 192.168.1.0/24
või ...kõik oleneb sisevõrgu IP aadress vahemikust.
ISP näeb oma vaatest igal juhul sinu kodu arvutivõrgu seadmeid. ISP teeb ka kodu ruuterite firmware update'sid. Kuid kasutaja arvutid ja nutiseadmed jäävad omanike hooldada. Ka ei vastuta ISP selle eest kuidas kodukasutaja konfigureerib üle oma koduse ruuteri (tcp portide suunamised jne) või arvutid. Kui kasutaja teeb kas lohakusest või teadmatusest mingi näpuka siis jääb ta sisuliselt "jumala hooleks". Pole eriti tervislik püksata viibida Internetis.
Ehk siis, kõige rohkem oletatavalt - arvutites möllab UEFI-viirus.
Ja sel juhul sellist viirust ei leia üles mitte üks Antiviirus.
PS: Mis võrku puutub.
UEFI-viiruse korral võib see viirus istuda ka korraga paljude arvutite UEFI-s. Kontrollida saab ainult nii, et kõik arvutid tuleb võrgust lahti ühendada ja siis ükshaaval kontrollida millise arvuti tagasiühendamisel "saatan taas võrku ilmub".
Oma isiklik kogemus on olemas. ASRocki emaplaadi UEFI-BIOS tuli üle fläshida. Muidu UEFI-viirusest lahti ei saanud.