Finalement, je suis parvenu à dégager la lamelle engagée dans l’encoche de la carte SD en glissant une aiguille le long de la carte… Ouf!

Mais le mécanisme à ressort était toujours bloqué, et insérer à nouveau la carte nous ramenait au début du problème… Me faisant à l’idée de renvoyer l’appareil au service après vente, j’ai remarqué que la carte SD était abîmée:

En observant attentivement le fond de l’emplacement de la carte, j’ai remarqué un petit bout de plastique jouant l’intrus. Après l’avoir dégagé au moyen d’un cure-dent, le mécanisme à ressort fonctionnait à nouveau.

Moralité: n’utilisez jamais de cartes SD abîmées! Au prix où elles sont actuellement, ce serait dommage d’endommager vos appareils photos…

Mais en y regardant de plus près, on se rend compte que les mails originaux ont effectivement été envoyés par notre serveur et qu’il s’agit de messages d’erreur authentiques!!! Une analyse plus approfondie s’impose donc.

On remarque vite que l’envoi de spam est toujours en cours: un des sites hébérgés sur notre serveur serait détourné à cette fin. De plus, une connexion sur un serveur IRC distant est active (port 6667)… On a vite fait de bloquer l’accès à ce site, de stopper le script perl connecté au serveur IRC et de vider la queue de ces mails indésirables.

Voici ce qu’a donné l’analyse post-mortem:

Logs apache

Tout a commencé ici:

On voit que le hacker (provenant apparemment du Brésil) a utilisé une faille joomla permettant de remettre à zéro le mote de passe de l’administrateur et gagner ainsi l’accès à l’interface d’administration.

Il a ensuite profité de cet accès pour uploader un ou plusieurs fichiers:

Finalement, on voit plusieurs centaines d’accès aux fichiers uploadés:

On voit à la fin qu’il est revenu vers 10:50 pour continuer son attaque mais à ce moment le site était bloqué, d’où l’erreur 403.

Fichiers uploadés

Au moins 4 fichiers ont été uploadés:

• bot.txt: un bot IRC scripté en perl.

  

  On peut voir qu’il a été développé à l’origine par la “communauté FeeLCoMz” et qu’il se connecte au serveur irc irc.maisbrasil.org, sur le chan #RUAN et qu’il permet aux utilisateurs D4RK et FaTaLisTiCz_Fx de le contrôler. Il permet entre autres de lancer des scans pour trouver d’autres sites vulnérables (Joomla ou autres) et plein d’autres choses pas très légales… C’était lui le resonsable de la connexion sur le port 6667.

• c99.php: il s’agit d’un shell PHP plutôt dévastateur (en fonction de la configuration apache et php du serveur). Il a probablement été uploadé en premier et utilisé pour uploader les autres fichiers et lancer le bot IRC.
• 2.6.x: un exécutable ELF. Il s’avèrera plus tard être un shell basique (utilisé à travers c99.php?).
• rox.php: ce fichier ne se trouvait plus sur le serveur mais au vu du nombre d’accès (plus de 1700), il s’agissait probablement du script utilisé pour envoyer les spam.

Utilisation sur VM

Les fichiers qui ont pu être récupérés ont été transférés sur une machine virtuelle afin de les tester. Un serveur IRC tourne également sur cette machine et le bot sera configuré pour s’y connecter.

Voici à quoi ressemble le script c99.php une fois uploadé:

Quand je vous disais que c’était potentiellement dévastateur On peut donc l’utiliser pour lancer le bot irc:

Et voici le résultat dans le chan spécifié: une fois le bot connecté, on peut lui envoyer des commandes.

Conclusion

En vrac:

• Il y a une floppée de script-kiddies voulant s’amuser sur internet
• Toujours mettre ses applications web à jour
• Analyser les logs
• Monitorer ses serveurs et détecter les situations anormales
• Connaître les attaques potentielles permet de mieux se défendre

Plus d’infos

http://en.wikipedia.org/wiki/Remote_File_Inclusion
http://www.zataz.com/forum/index.php?autocom=blog&blogid=1&showentry=24
http://www.martinsecurity.net/tag/rfi/

Heureusement, des thèmes supplémentaires sont disponibles (personnellement, je recommande Oblivion 2).

Il suffit d’extraire les fichiers dans le dossier “~/.config/geany/filedefs” et de redémarrer geany pour prendre le changement en compte.

sudo add-apt-repository ppa:elementaryart/ppa

et d’installer les packages requis:

sudo apt-get install gtk2-engines-aurora gtk2-engines-murrine elementary-theme elementary-icon-theme

Il suffit ensuite d’activer le thème via les préférences.

Grâce au logiciel dosbox, un émulateur DOS (disponible dans les dépôts Ubuntu), vous pourrez revivre de bonnes vieilles sensations “old school” en rejouant les hits de l’époque (disponibles en tant qu’abandonware).

Il suffit de se rendre dans les préférences->Feeds et de cliquer sur le bouton “Click here to register this site as a feed reader”. La prochaine fois que vous vous abonnerez à un flux RSS, ceci se fera automatiquement dans Tiny Tiny RSS.