home *** CD-ROM | disk | FTP | other *** search
/ InfoMagic Standards 1994 January / InfoMagic Standards - January 1994.iso / inet / scc / 9218 < prev    next >
Text File  |  1992-06-23  |  9KB  |  181 lines
  1. **************************************************************************
  2. Security Bulletin 9218                  DISA Defense Communications System
  3. June 23, 1992               Published by: DDN Security Coordination Center
  4.                                       (SCC@NIC.DDN.MIL)   1-(800) 365-3642
  5.  
  6.                         DEFENSE  DATA  NETWORK
  7.                           SECURITY  BULLETIN
  8.  
  9.   The DDN SECURITY BULLETIN is distributed by the DDN Security
  10.   Coordination Center (SCC) under DISA contract as a means of communicating
  11.   information on network and host security exposures, fixes, and concerns
  12.   to security and management personnel at DDN facilities.  Back issues may
  13.   be obtained via FTP (or Kermit) from NIC.DDN.MIL [192.112.36.5]
  14.   using login="anonymous" and password="guest".  The bulletin pathname is
  15.   scc/ddn-security-yynn (where "yy" is the year the bulletin is issued
  16.   and "nn" is a bulletin number, e.g. scc/ddn-security-9218).
  17. **************************************************************************
  18. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  19. !                                                                       !
  20. !     The following important advisory was issued by the Computer       !
  21. !     Emergency Response Team (CERT) and is being relayed unedited      !
  22. !     via the Defense Information Systems Agency's Security             !
  23. !     Coordination Center distribution system as a means of providing   !
  24. !     DDN subscribers with useful security information.                 !
  25. !                                                                       !
  26. + - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - +
  27. ===========================================================================
  28. CA-92:14                        CERT Advisory
  29.                                 June 22, 1992
  30.                         Altered System Binaries Incident
  31.  
  32. ---------------------------------------------------------------------------
  33.  
  34. The Computer Emergency Response Team/Coordination Center (CERT/CC) has
  35. received information regarding a series of significant intrusion
  36. incidents on the Internet.  Systems administrators should be aware
  37. that many systems on the Internet have been compromised due to this
  38. activity.  To identify whether your systems have been affected by the
  39. activity we recommend that all system administrators check for the
  40. signs of intrusion detailed in this advisory.
  41.  
  42. This advisory describes the activities that have been identified as
  43. part of this particular incident.  This does not address the
  44. possibility that systems may have been compromised due to other,
  45. unrelated intrusion activity.
  46.  
  47. ---------------------------------------------------------------------------
  48.  
  49. I.   Description
  50.  
  51.      The intruders gain initial access to a host by discovering a
  52.      password for a user account on the system, exploiting a "+" in 
  53.      the "/etc/hosts.equiv" file, or any ".rhosts" files on the
  54.      system.  The intruder then connects to the system using rsh and
  55.      attempts to become root on the compromised system.  An alias of
  56.      "decode" may be used to gain root privileges.
  57.  
  58. II.  Impact
  59.      
  60.      Having gained root access on a system, the intruder may make
  61.      unauthorized changes to system binaries that can capture account
  62.      information for both local and remote systems.  In addition, the
  63.      intruder adds "+ +" to any ".rhosts" files to which the intruder
  64.      has access.
  65.  
  66. III. Solution 
  67.  
  68.      A. Check your systems for signs of intrusion due to this incident.
  69.  
  70.         1. Check the login, telnet, and uucpd binaries (for example,
  71.            "/bin/login", "/usr/ucb/telnet", and "/usr/etc/in.uucpd" on
  72.            Sun systems) against copies from distribution media.  Note that
  73.            a check for creation or modification times and sizes is
  74.            not sufficient to assure that the files have not been modified.
  75.            The CERT/CC suggests that you compare the output of the
  76.            "sum(1)" or "cmp(1)" command on both the distribution and
  77.            installed versions of the binaries.
  78.  
  79.         2. If the check from (A.1) indicates that your binaries have been
  80.            modified, check for the presence of a password log file.  Since
  81.            the name of the logfile is often changed, the name of the file
  82.            should be obtained using the "strings(1)" command on the Trojan
  83.            login, uucpd, or telnet binary.  Examples of filenames used on
  84.            other systems are:
  85.  
  86.                                "/usr/spool/. " (dot space)
  87.                                "/var/spool/secretmail/.l"
  88.                                "/var/spool/secretmail/.log"
  89.                                "/var/spool/secretmail/.tty"
  90.                                "/var/spool/secretmail/.lock"
  91.                                "/usr/tmp/.log"
  92.                                "/usr/spool/uucp/.sys"
  93.                                "/usr/spool/uucppublic/.hushlogin"
  94.                               "/usr/uucp/.sys"
  95.                                "/mnt2/lost+found/.tmp/.log"
  96.                                "/usr/spool/mqueue/.AFG001"
  97.  
  98.            Verify that the contents of files found using the "strings(1)"
  99.            command do not contain valid username/password combinations.  
  100.  
  101.         3. Check for the presence of "+" in the "/etc/hosts.equiv"
  102.            file.  
  103.  
  104.            NOTE that Sun Microsystems installs the SunOS operating 
  105.            system with a default "+" in the /etc/hosts.equiv
  106.            file for easy network access.  This should be removed
  107.            unless required in your operating environment and protected
  108.            by a firewall network configuration.  Leaving the "+"
  109.            intact will allow any non-root user on the Internet to
  110.            login to the system without a password.
  111.  
  112.         4. Check the home directory for each entry in the "/etc/passwd"
  113.            file for the presence of a ".rhosts" file containing
  114.            "+ +" (plus space plus).
  115.  
  116.         5. Assure that your "/etc/fstab", "/etc/inetd.conf", and
  117.            "/etc/exports" files have not been modified.
  118.  
  119.      B. Take the following steps to secure your systems.
  120.  
  121.         1. Save copies of the identified files to removable media and 
  122.            remove any password log files as found in (A.2) above.
  123.  
  124.         2. Replace any modified binaries with copies from
  125.            distribution media.
  126.  
  127.         3. Remove the "+" entry from the "/etc/hosts.equiv"
  128.            file and the "+ +" (plus space plus) entry from any
  129.            ".rhosts" files.  
  130.  
  131.         4. Change ownership of the "/etc" directory to userid "root"
  132.            if it is owned by "bin" (as distributed by Sun).
  133.            
  134.         5. Change every password on the system and assure that the new 
  135.            passwords are robust using a package such as Crack or Cops
  136.            (available via anonymous ftp from cert.org).
  137.  
  138.         6. Inspect and restore any changes made to your "/etc/fstab", 
  139.            "/etc/exports", or "/etc/inetd.conf" files.  If any
  140.            modifications are found in these files, you will need to
  141.            unmount file systems and restart daemons once the files
  142.            have been restored.  Alternatively the system could be
  143.            rebooted.
  144.      
  145.         7. Remove the "decode" alias from your global mail aliases
  146.            file ("/etc/aliases" on Sun systems, "/usr/lib/aliases" on
  147.            other UNIX systems).
  148. ---------------------------------------------------------------------------
  149.  
  150. If you believe that your system has been compromised, contact CERT/CC or
  151. your representative in FIRST (Forum of Incident Response and Security Teams).
  152.  
  153. Internet E-mail: cert@cert.org
  154. Telephone: 412-268-7090 (24-hour hotline)
  155.            CERT/CC personnel answer 7:30 a.m.-6:00 p.m. EST(GMT-5)/EDT(GMT-4),
  156.            on call for emergencies during other hours.
  157.  
  158. Computer Emergency Response Team/Coordination Center (CERT/CC)
  159. Software Engineering Institute
  160. Carnegie Mellon University
  161. Pittsburgh, PA 15213-3890
  162.  
  163. Past advisories, information about FIRST representatives, and other
  164. information related to computer security are available for anonymous ftp
  165. from cert.org (192.88.209.5).
  166.  
  167.  
  168. ****************************************************************************
  169. *                                                                          *
  170. *    The point of contact for MILNET security-related incidents is the     *
  171. *    Security Coordination Center (SCC).                                   *
  172. *                                                                          *
  173. *               E-mail address: SCC@NIC.DDN.MIL                            *
  174. *                                                                          *
  175. *               Telephone: 1-(800)-365-3642                                *
  176. *                                                                          *
  177. *    NIC Help Desk personnel are available from 7:00 a.m.-7:00 p.m. EST,   *
  178. *    Monday through Friday except on federal holidays.                     *
  179. *                                                                          *
  180. ****************************************************************************
  181.