Logo GNT
Actualités Tests & Guides Bons Plans
Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11
Entraide Linux Autres OS Linux Debian [HS] fichiers de log vino

[HS] fichiers de log vino

2 réponses
Avatar
pascal.ognibene
Bonjour =E0 tous,=0D=0A=0D=0A[d=E9sol=E9 de reposter, j'ai oubli=E9 le su=
jet du mail]=0D=0A=0D=0AAfin de pouvoir assister =E0 distance une amie, j=
'ai activ=E9=0D=0Asur sa ubuntu =0D=0Ale serveur vino (clone de vnc), per=
mettant de prendre le=0D=0Acontr=F4le =E0 =0D=0Adistance.=0D=0AHier soir,=
il semblerait que quelqu'un ait r=E9ussi =E0 utiliser=0D=0Acemoyen =0D=0A=
pour lancer un navigateur et faire des op=E9rations sur une=0D=0Aquelconq=
ue =0D=0Abanque californienne. Puis l'attaquant =E0 'effac=E9' ses traces=
=0D=0Adans le =0D=0Anavigateur. Ca sent donc assez mauvais.=0D=0A=0D=0AEn=
dehors des op=E9rations habituelles (fermeture du service,=0D=0Av=E9rifi=
er les =0D=0Arootkits, etc) je souhaiterais retrouver l'IP de la personne=
=0D=0As'=E9tant =0D=0Aconnect=E9e.=0D=0AQuelqu'un sait-il le le serveur v=
ino logge quelque part les=0D=0AIP des =0D=0Apersonnes se connectant? J'a=
i cherch=E9 sur google (beaucoup=0D=0Ade questions, =0D=0Apas de r=E9pons=
es), dans la man page (qui n'existe pas), dans=0D=0Ales docsdu =0D=0Apaqu=
et (rien d'int=E9ressant).=0D=0A=0D=0AQuestion subsidiaire (je ne suis pl=
us =E0 un HS pr=E8s) : dans=0D=0Ace cas de =0D=0Afigure (faille de s=E9cu=
rit=E9, exploitation pour des achats ou des =0D=0Avirements) savez-vous s=
i les banques remboursent les=0D=0Avirements frauduleux?=0D=0A=0D=0AMerci=
d'avance de votre aide!=0D=0A=0D=0APascal=0D=0A=0D=0A=0D=0A=0A=0A=0A----=
------------------ ALICE N=B01 de la RELATION CLIENT 2008*---------------=
-----=0AD=E9couvrez vite l'offre exclusive ALICE BOX! En cliquant ici htt=
p://abonnement.aliceadsl.fr Offre soumise =E0 conditions.*Source : TNS SO=
FRES / BEARING POINT. Secteur Fournisseur d.Acc=E8s Internet=0A

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/DebFrFrenchLists
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to debian-user-french-REQUEST@lists.debian.org
with a subject of "unsubscribe". Trouble? Contact listmaster@lists.debian.org
Signaler un problème avec ce contenu

2 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
Guillaume
wrote:
Bonjour à tous,

[désolé de reposter, j'ai oublié le sujet du mail]

Afin de pouvoir assister à distance une amie, j'ai activé
sur sa ubuntu
le serveur vino (clone de vnc), permettant de prendre le
contrôle à
distance.
Hier soir, il semblerait que quelqu'un ait réussi à utiliser
cemoyen
pour lancer un navigateur et faire des opérations sur une
quelconque
banque californienne. Puis l'attaquant à 'effacé' ses traces
dans le
navigateur. Ca sent donc assez mauvais.

En dehors des opérations habituelles (fermeture du service,
vérifier les
rootkits, etc) je souhaiterais retrouver l'IP de la personne
s'étant
connectée.
Quelqu'un sait-il le le serveur vino logge quelque part les
IP des
personnes se connectant? J'ai cherché sur google (beaucoup
de questions,
pas de réponses), dans la man page (qui n'existe pas), dans
les docsdu
paquet (rien d'intéressant).



S'il a eu les droits root il a du effacer aussi les fichiers de log,
sinon voir du côté de /var/log (pas seulement les logs de vino, mais
aussi auth, syslog). Voir aussi les commandes "last" et "faillog" si
elles mettent les adresses IP distantes.


Question subsidiaire (je ne suis plus à un HS près) : dans
ce cas de
figure (faille de sécurité, exploitation pour des achats ou des
virements) savez-vous si les banques remboursent les
virements frauduleux?



Tu peux refuser un paiement par CB : tu vas voir ta banque et tu
demandes que soit refusé ce débit. En pratique la banque te rembourse et
ensuite se retourne contre l'autre banque. Très souvent la banque te dit
que c'est trop tard et que c'est pour ta pomme, mais légalement (je
l'avais vu en cours de droit mais il y a longtemps, donc je ne connais
plus l'article) elle ne peut pas refuser sauf peut-être si elle arrive à
prouver que c'est vraiment de ta faute (genre écrire son code PIN sur
la CB). Bref, tu vas voir ta banque en cas de virement frauduleux, mais
évite de dire que tu as laissé un logiciel de prise de main à distance
sans sécurité avec le numéro de CB en cache du navigateur ! Au pire,
fait opposition tant qu'il est encore temps.

A partir de maintenant, un déverminage de la machine est indispensable,
ainsi que la mise en place d'un firewall. Il y a aussi la possibilité de
mettre un honey pot, mais c'est dans une autre optique.

Bye
GL

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/DebFrFrenchLists
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact
Avatar
Pascal Ognibene
Guillaume a écrit :

S'il a eu les droits root il a du effacer aussi les fichiers de log,
sinon voir du côté de /var/log (pas seulement les logs de vin o, mais
aussi auth, syslog). Voir aussi les commandes "last" et "faillog" si
elles mettent les adresses IP distantes.



Merci. Je ne pense pas qu'il ai eu les droits root, il s'est contenté de
passer par le port 5900 pour utiliser un client vnc. (a moins bien sur
qu'il ai installé un key logger pour attraper le mot de passe
utilisateur, ou qu'il ait lancé un exploit local. mais sur ubuntu il n'y
a pas de compte root à proprement parler : il faut passer par sudo
donc connaître le mot de passe d'un utilisateur pouvant utiliser sud o)
chkrootkit et rkhunter ne m'ont rien détecté de suspect, les mo ts de
passe n'ont pas été changés. Je n'ai pas réussi à trouver un log
spécifique à vino ou vnc dans /var/log (là ou nx logge les tentatives de
connexion par exemple). C'est surtout ça qui me casse les pieds, ave c
l'ip de l'attaquant j'aurais pu faire quelque chose (peut-être).



Question subsidiaire (je ne suis plus à un HS près) : dans
ce cas de figure (faille de sécurité, exploitation pour des achats ou
des virements) savez-vous si les banques remboursent les
virements frauduleux?



Tu peux refuser un paiement par CB : tu vas voir ta banque et tu
demandes que soit refusé ce débit. En pratique la banque te r embourse et
ensuite se retourne contre l'autre banque. Très souvent la banque te dit
que c'est trop tard et que c'est pour ta pomme, mais légalement (j e
l'avais vu en cours de droit mais il y a longtemps, donc je ne connais
plus l'article) elle ne peut pas refuser sauf peut-être si elle ar rive à
prouver que c'est vraiment de ta faute (genre écrire son code PIN sur
la CB). Bref, tu vas voir ta banque en cas de virement frauduleux, mais
évite de dire que tu as laissé un logiciel de prise de main à   distance
sans sécurité avec le numéro de CB en cache du navigateu r ! Au pire,
fait opposition tant qu'il est encore temps.

A partir de maintenant, un déverminage de la machine est indispens able,
ainsi que la mise en place d'un firewall. Il y a aussi la possibilità © de
mettre un honey pot, mais c'est dans une autre optique.



Ben en fait de service sur cette machine, il n'y a que ssh (avec des
clefs regénérées depuis la célèbre affaire d'ent ropie d'il y a quelques
temps). J'ai viré vino, vnc, etc, exim, et en gros tout ce qui resse mble
à un programme écoutant sur un port. Quand au numéro de co mpte, en fait
il ne s'agissait pas de celui de mon amie : il semblerait que le pirate
ait utilisé la machine comme passerelle pour réaliser des opà ©rations sur
un autre compte. La bonne nouvelle c'est que le compte de mon amie n'a
pas été vidé; la mauvaise c'est que peut-être quelqu' un aux US a eu ce
problème, et c'est l'IP de mon amie qui va être tracée...

Merci de votre aide,

Pascal

--
Lisez la FAQ de la liste avant de poser une question :
http://wiki.debian.org/DebFrFrenchLists
Vous pouvez aussi ajouter le mot ``spam'' dans vos champs "From" et
"Reply-To:"

To UNSUBSCRIBE, email to
with a subject of "unsubscribe". Trouble? Contact