home *** CD-ROM | disk | FTP | other *** search
/ The Hacker's Encyclopedia 1998 / hackers_encyclopedia.iso / hacking / general / cert0016.txt < prev    next >
Encoding:
Text File  |  2003-06-11  |  4.4 KB  |  112 lines
  1.  
  2. -----BEGIN PGP SIGNED MESSAGE-----
  3.  
  4.  
  5. CA-90:09                    CERT Advisory
  6.                           November 8, 1990
  7.               VAX/VMS Break-ins
  8.  
  9. - -------------------------------------------------------------------------
  10.  
  11. DESCRIPTION:
  12.  
  13.      Several VAX/VMS systems are presently being subjected to
  14. intrusions by a persistent intruder(s).  The intruder utilizes DECnet,
  15. TCP/IP, and/or X25 access paths to gain unauthorized entry into
  16. accounts (privileged and non-privileged).  Once a privileged account
  17. is breached, the intruder disables auditing & accounting and installs
  18. a trojan horse image on the system.  In the most recent attacks, the
  19. intruder has installed the image VMSCRTL.EXE in SYS$LIBRARY.  (Note
  20. that VMSCRTL.EXE is not a vendor-supplied filename.) The command
  21. procedure DECW$INSTALL_LAT.COM is placed in SYS$STARTUP and installs
  22. the image.  Note that these images and command files are sufficiently
  23. camouflaged so as to appear to be valid VMS system files, even upon
  24. close inspection.
  25.  
  26.      There is no evidence that the intruder is exploiting any system 
  27. vulnerability to gain access to the affected systems.  The  intruder 
  28. uses valid username/password combinations to gain access to accounts.
  29. The intruder most likely obtains these username/password combinations 
  30. by systematically searching through text files on the user disks of 
  31. penetrated systems for clear-text username/password pairs.  These 
  32. username/password combinations are often valid on remote systems, 
  33. which allows the intruder to access them as well.  Once a privileged 
  34. account is accessed, the intruder will use the AUTHORIZE utility to 
  35. detect and exploit dormant accounts (especially dormant privileged 
  36. accounts).  The intruder has also assigned privileges to dormant 
  37. non-privileged accounts.
  38.  
  39.  
  40. IMPACT: 
  41.  
  42. Unauthorized users who gain privileged and/or non-privileged system
  43. access might deliberately or inadvertently affect the integrity of
  44. system information and/or affect the integrity of the computing
  45. resource.  
  46.  
  47.  
  48. SOLUTION:
  49.  
  50. The following steps are recommended for detecting whether systems at
  51. your site have been compromised:
  52.  
  53.      1.  Search for SYS$LIBRARY:VMSCRTL.EXE and
  54. SYS$STARTUP:DECW$INSTALL.COM.  (This can be done with the following
  55. DCL command: $ DIR device:[*...]/SINCE=date /MODIFIED).  Note that to
  56. call the command procedure which installs the image, the intruder will
  57. utilize SYSMAN to modify SYS$STARTUP:VMS$LAYERED.DAT.  Thus, there
  58. will be an unexplained modification to SYS$STARTUP:VMS$LAYERED.DAT.
  59. This may be the surest indication of an intrusion, since the intruder
  60. could easily change the names and locations of the trojan horse image
  61. and its accompanying command procedure.
  62.  
  63.      2.  If you discover that auditing or accounting has been disabled
  64. for a period of time, go into AUTHORIZE and ensure that no password or
  65. other changes were made during that time.  Password changes while
  66. auditing and accounting have been disabled may indicate unauthorized
  67. access into your system.
  68.  
  69.  
  70.      The following pre-emptive actions are suggested:
  71.  
  72.      1. DISUSER all dormant accounts, especially dormant privileged
  73. accounts.
  74.  
  75.      2. Advise all users of the security problems inherent in placing
  76. username/password combinations in text files.  Consider searching your
  77. user disks for such occurrences.
  78.  
  79.      3. Change all vendor-supplied default passwords (e.g., MAILER,
  80. DECNET, SYSTEM) and make sure all passwords are difficult to guess.
  81.  
  82.      4. Make sure that all privileged users have only the minimum
  83. privileges that are REQUIRED to perform their current tasks.
  84.  
  85.      5. Closely monitor all relevant audit trails.
  86.  
  87. - -------------------------------------------------------------------------
  88.  
  89. Computer Emergency Response Team/Coordination Center (CERT/CC)
  90. Software Engineering Institute
  91. Carnegie Mellon University
  92. Pittsburgh, PA 15213-3890
  93.  
  94. Internet E-mail: cert@cert.org
  95. Telephone: 412-268-7090 24-hour hotline: CERT personnel answer
  96.            7:30a.m.-6:00p.m. EST, on call for
  97.            emergencies other hours.
  98.  
  99. Past advisories and other information are available for anonymous ftp
  100. from cert.org (192.88.209.5).
  101.  
  102. -----BEGIN PGP SIGNATURE-----
  103. Version: 2.6.2
  104.  
  105. iQCVAwUBMaMwjXVP+x0t4w7BAQFGEAP+OdVzy2YpfbpXgB8go0hGQzEX4Vd9g7kM
  106. /34BdAWalnVOU2lsD6sJH+TtQo/of/pie6qgz4H/V/ji3Qc8vgCg1sk15IQaAdxz
  107. f198yeBoOH/9qsZZHs2Igi2piWDxSmHJZRCT3mdrZkii69ykOcH1xjxhyDSK4dDO
  108. GbLtZ0NYc/4=
  109. =Yudg
  110. -----END PGP SIGNATURE-----
  111.  
  112.