Κακοβουλο λογισμικο σε Iso Mint Cinnamon 17.3 που κατεβηκε 20 Φλεβαρη

[versys650gr]

Προσοχη οσοι κατεβασατε το Iso του Mint Cinnamon 17.3 στις 20 του μηνος,(χθες).
Ενδεχεται να ειναι μολυσμενο με κακοβουλο λογισμικο.
Σβηστε το και ξανακατεβαστε το ή καντε τον ελεγχο με το MD5 να δειτε αν σας βγαλει τις σωστες υπογραφες.
Αν το εχετε περασει σε δισκο ή φλασακι μπειτε σε live session και καντε ελεγχο αν υπαρχει ενα αρχειο στην διαδρομη /var/lib/man.cy που σημαινει οτι ειναι μολυσμενο.
Αν εχει γινει εγκατασταση με μολυσμενο Iso,καντε ξανα φορματ κατεβαζοντας αλλο καθαρο Iso μιας και το προβλημα αποκατασταθηκε στην κεντρικη σελιδα του Mint.
Και αν προλαβατε να περιηγειθειτε στο διαδικτυο αλλαξτε για σιγουρια κωδικους σε ευαισθητους λογαριασμους σας.
(πχ email κτλ)
Για παραπανω πληροφοριες στην παρακατω ανακοινωση απο το επισημο blog του Linux Mint.

http://blog.linuxmint.com/?p=2994

[oiniades.gr]

τι ακριβωσ ψαχνω στην διαδρομη αυτη;;στην διαδρομη που λετε το μονο man που βλεπω ειναι το man -db το οπιο εχει αρχειο auto-urdate μεσα το οπιο ειναι αδειο

[NikTh]

Έκανα το ίδιο ποστ και στο FB και το διέγραψα, εδώ μέσα ταιριάζει καλύτερα νομίζω ως τόπος συζήτησης (δεν το πολυ-συμπαθώ το FB ούτως ή άλλως).

Σε συνέχεια του ποστ περί hacking στη σελίδα του LinuxMint και των ISO. Δεν είναι αυτό το τραγικό της υπόθεσης κατά τη γνώμη μου, το τραγικό είναι αυτό

Κώδικας: [Επιλογή]

$dbuser = 'lms14';
$dbpasswd = 'upMint';
Έλεος! Πως περιμένει κάποιος μετά να βάλει ο απλός ο χρήστης ισχυρό κωδικό ;

Δείτε επίσης ένα ωραίο στο Twitter, αν και ακριβό μου φαίνεται, αλλά αυτοί που το πουλάνε κάτι θα ξέρουν (εκτός και αν τρολλάρουν).

Επίσης να πούμε ότι τα torrent ISOs δεν επηρεάστηκαν από αυτή την επίθεση. Άλλος ένας λόγος να επιστευόμαστε το p2p.

[talos]

Στην πραγματικότητα όχι. Η προσβολή έγινε μέσα από το wordpress. Αν έχεις πρόσβαση στο wordpress ο κωδικός που έχει η βάση είναι αδιάφορος. Πολλές από τις καινούργιες βάσεις NoSQL δεν έχουν καν κωδικούς πρόσβασης.

Πρόβλημα υπάρχει αν μπορείς να αποκτήσεις πρόσβαση στην βάση από απομακρυσμένο υπολογιστή. Αλλά αυτό το κόβει το firewall και ένα port scan είναι το πρώτο πράγμα που τσεκάρεις πάντα.

[talos]

Πρόβλημα υπάρχει μόνον για όσους κατέβασαν την έκδοση Cinnamon στις 20 του Φλεβάρη και έχουν το συγκεκριμένο αρχείο.
Οι χρήστες αυτοί θα πρέπει να κάνουν επανεγκατάσταση άμεσα και να αλλάξουν τους κωδικούς πρόσβασης σε email κοινωνικά δίκτυα κλπ
Σε κάθε άλλη περίπτωση δεν υπάρχει κανένα πρόβλημα.

Το λογισμικό του linuxmint.com παραβιάστηκε και το download έδειχνε σε ένα server στην Βουλγαρία. Το πρόβλημα ευτυχώς εντοπίστηκε άμεσα και πριν προλάβουν να πειράξουν άλλες εκδόσεις της διανομής. 

[NikTh]

Και πάλι τέτοιου είδους κωδικούς τους θεωρώ το λιγότερο χαζούς. Καλύτερα άστο κενό. Κάτι τέτοιο είχε πάθει (αν θυμάμαι καλά) και ο Linus στο Git, όπου είχε βάλει για κωδικό το ... tux ; ή κάτι τέτοιο γελοίο.

Για να κάνουμε και μια κουβέντα, η οποία έχει ήδη ξεκινήσει βέβαια από διάφορους στο Web, ποιο νομίζετε ότι είναι το κίνητρο; προσωπικές γνώμες βέβαια λέμε χωρίς αποδείξεις, και καλό θα είναι και χωρίς ονόματα (ανθρώπων).

Διαβάζω για Microsoft, Google, μέχρι και Canonical, λόγω της δημοφιλίας που έχει αποκτήσει το Mint.

Μήπως άλλο ένα χτύπημα στον ανοιχτό κώδικα γενικότερα; και καλά, "μπάζει από παντού" , οπότε γυρίστε πίσω σε αυτό που ξέρουμε;

ή έτσι για να το παίξουμε hackerαδες, αφού βρήκαμε την αδυναμία, ας του δώσουμε να καταλάβει.

[talos]

ή έτσι για να το παίξουμε hackerαδες, αφού βρήκαμε την αδυναμία, ας του δώσουμε να καταλάβει.

Το πανηγύρι ξεκίνησε ήδη πάντως. Για παράδειγμα εδώ https://lwn.net/Articles/676664/ έχει ένα άρθρο με τίτλο "Linux Mint downloads (briefly) compromised" και το κείμενο μέσα λέει για οτιδήποτε άλλο παρά για το το συνέβη.  Σε μερικά ξέρω πως ο NikTh θα συμφωνήσει με τον συγραφέα, τα έχουμε άλλωστε ξανασυζητήσει αυτά εδώ μέσα άλλωστε.

Αλλά είναι άστοχο και άκομψο να θέτεις τις διαφωνίες σου αυτή την στιγμή και με αυτό τον τίτλο. Παραβιάστηκε ένα website. Αυτό δεν έχει να κάνει με το αν το mint είναι ασφαλές ή όχι. Ούτε αν συμφωνείς με τον Clem ή όχι. Για κάποιο λόγο πάντως το mint είναι στην πρώτη θέση (για κάποιο ορισμό της πρώτης θέσης).

Προφανώς δεν είναι κανένας υπεράνω κριτικής, απλά αυτή θα πρέπει να γίνετε στο κατάλληλο χρόνο. Για παράδειγμα έχει πρόβλημα ο αρθρογράφος που στο επόμενο mint o κειμενογράφος θα ονομάζεται παντού xedit, μιας και δεν θα μπορεί κανείς να τρέξει το πρόγραμμα με το όνομα xedit. Σοβαρά; Δεν μπορείς να τρέξεις το xedit ρε φιλέ; Δουλεύεις το xedit και έχεις θέμα να το εγκαταστήσεις. Αυτό είναι μια τρολιά ανώτερου επιπέδου 

Για όσους δεν ξέρουν το xedit είναι ένα πρόγραμμα του 1989 και ένα απο τα πρώτα "γραφικά" προγράμματα για UNIX. Και επειδή μια εικόνα αξίζει όσο χίλιες λέξεις

Να δω με το wayland πως θα το τρέξεις ...

Δεν έχει νόημα να ψάχνει κανείς ιστορίες συνωμοσίας. Το όρος Έβερεστ είναι εκεί και αυτό είναι αρκετό για να θέλουν κάποιο να τραβήξουν selfie στην κορυφή του. Ελπίζω πάντως να βγει κάτι καλό από αυτό.  Ο έλεγχος με το md5  και θα πρέπει να ελέγχουμε και τον ψηφιακά υπογεγραμμένο και κρυπτογραφημένο md5. Και αυτό δεν το κάνει κανένας και καμία διανομή εκτός από την tails.  Το κρυπτογραφημένο md5 πάντως υπάρχει.

Υπάρχει από την διανομή tails μια επέκταση για τον Firefox  https://tails.boum.org/blueprint/bootstrapping/extension/ και μια πρόταση για ασφαλές κατέβασμα ενός αρχείου iso. Ίσως ήρθε η ώρα να υιοθετηθεί κάτι τέτοιο από όλες τις διανομές και να αρχίσουν και τα διάφορα προγράμματα τύπου unetbootin να κάνουν τέτοιους ελέγχους.

Όποιος είναι παλιός ξέρει ότι η συλλογική ευφυία των χρηστών επιλέγει μια διανομή σαν πρώτη και αυτή κρατάει αυτή την θέση για κάποια χρόνια. Το mint  κράτησε αυτή την θέση για πολύ καιρό. Άρχισα να αναρωτιέμαι, μιας και δεν βρίσκετε κάποιος νέος παίχτης, ότι θα κρατήσει αυτή την θέση για πολύ καιρό ακόμα. Για έναν απλό λόγο. Γιατί κανένας πλέον δεν νοιάζεται.   Το παιγνίδι έχει φύγει από το desktop και έχει πάει από την μια στα tablets και απο την άλλη στα containers. Οπότε δεν έχει καμία σημασία το ποια διανομή θα είναι πρώτη στο χώρο του Desktop. Τι λέτε;

[Constantine]

Aνοιγεις ενδιαφερουσα κουβεντα ΝikTh
Aν πχ ηταν απο πλευρας microsoft η google δν θ ηταν καλυτερο ν χτυπουσαν την Canonical αυτη ειναι ας πουμε ο κυριος ανταγωνιστης απο πλευρας Linux γτ εχει απο πισω μια εταιρια.
Μηπως ηταν κανα ubuntu fanboy απο πισω..γτ ετσι επειδη ειναι fanboy
H μηπως ακομα χειροτερα ειναι η Canonical που παει ν της φαει την "πελατεια" το Mint?
Νταξει τωρα απο εικασιες μπορουμε ν μιλαμε για μερες, αλλα κουβεντα ν γινετε

[Salih]

Όλα αυτά περί χτυπημάτων από διάφορες εταιρείες που κυκλοφορούν ... τα θεωρώ το λιγότερο ανόητα. Από τα λίγα που έχουν αναφερθεί αντιλαμβάνομαι ότι έγινε πατάτα στις ρυθμίσεις του Wordpress (παλιά έκδοση?) όπως έγινε και στο ubuntuforums (παλιά έκδοση)

[versys650gr]

Να ρωτησω ρε παιδια,
δεν ξερω αν ειναι χαζη ερωτηση αλλα την ειδα στο fb και την θεωρησα ευλογη απορια.
Εφ'οσον καταφερε να γινει "εισβολη" με παραποιημενο Iso,με οποιον τροπο κι αν εγινε,
μπορει να γινει και παραποιηση στο MD5?
Ετσι ωστε κανοντας ελεγχο να μας βγαζει σωστες υπογραφες χωρις να ειναι?

[Salih]

Θα είχαν δει ότι έχει γίνει αλλαγή και στο αρχείο MD5. Οπότε δεν το πείραξαν, μιας και δεν ήθελαν να τραβήξουν την προσοχή. Θεώρησαν οτι "κανένας" δεν κάνει MD5checksum στο ISO που κατεβάζει

[talos]

Αυτό που έγινε, για να το πούμε απλά, είναι ότι κάποιοι μπόρεσαν να αλλάξουν τα κείμενα του site αποκτώντας δικαιώματα διαχειριστή στο wordpress. Έτσι απέκτησαν και ένα αντίγραφό ασφαλείας της βάσης.

Σαν διαχειριστές λοιπόν άλλαξαν ένα Link ώστε να δείχνει σε ένα παραβιασμένο υπολογιστή στην Βουλγαρία. Αν μπορείς να το κάνεις αυτό μπορείς να αλλάξεις και το md5 μιας και είναι απλό κείμενο. Δεν ξέρω αν το έκαναν.

Η λύση είναι να έχεις το md5 σε μια κρυπτογραφημένη μορφή, ώστε να μην μπορεί κάποιος να το αλλάξει χωρίς το προσωπικό κλειδί σου. Και κρυπτογραφημένα md5 υπήρχαν, αν και σχεδόν κανένας δεν έμπαινε στον κόπο να τα ψάξει, και δεν ήταν σε κάποιο εμφανές μέρος, και να τα τσεκάρει.

[versys650gr]

Οκ,
ευχαριστω για τις απαντησεις 

[Asterion]

Σαν διαχειριστές λοιπόν άλλαξαν ένα Link ώστε να δείχνει σε ένα παραβιασμένο υπολογιστή στην Βουλγαρία. Αν μπορείς να το κάνεις αυτό μπορείς να αλλάξεις και το md5 μιας και είναι απλό κείμενο. Δεν ξέρω αν το έκαναν.

Δεν πρόλαβαν να το κάνουν ή δεν είχαν τέτοια πρόθεση.

Τα παρακάτω σχόλια του Clem δίνουν μια σαφέστερη εικόνα της επίθεσης από τα έως τώρα δεδομένα.

Κώδικας: [Επιλογή]

The fake ISO in Sofia, the OS backdoor in Sofia also, the guy accessing our server via the second backdoor from Russia,
but when you look at a hole and see somebody looking at you, you need to figure out who knows more than the other,
and if we’re reacting to their actions it was pretty clear we had to take everything down.
The hacker from Russia (could be a VPN of course) even DDOSed my personal IP to prevent me from taking the site down.
He also took down part of his set up since

Κώδικας: [Επιλογή]

We found an uploaded php backdoor in the theme directory of a wordpress installation, which was 1 day old and had no plugins running.
The theme was new but most importantly I think we had lax file permissions on this.
This was only set up hours before the attack but we were probably scanned for something like this for a while.
Anyhow, we don’t know yet how it was uploaded but we know it happened there, and I’m certainly not pointing the finger at anybody.
People just asked if we were running wordpress or if wordpress was used in the attack and I answered yes.

Κώδικας: [Επιλογή]

We’ve a bit more information about it now and we think it’s a single individual with no funding behind the attack.
We’ll pass the relay to a security firm now.]

Κώδικας: [Επιλογή]

We’re still looking into that backdoor. We’ve got the code for it, we know what it does, we think it portrays itself as being apt-cache and we don’t know everything about it just yet. It’s important we do before messing with it remotely.
Κι άλλο ένα σχόλιο το οποίο αφορά στα χακάρισμα του φόρουμ και δεν ξέρω πόσο σημαντικό μπορεί να είναι :

Κώδικας: [Επιλογή]

The dump which was left behind was of the forums user table.
That said, they had access to our server so it’s possible they looked at donation data.

[talos]

Από επικοινωνία με την ομάδα ανάπτυξης

I did check the snapshots on wayback.org (web archive) of the downloads page and didn't find earlier modifications of the download links on that either the attacker only had access to the server on which the wordpress website and phpbb forum were hosted; repositories and ISOs are stored on other servers, in other data centers.

Τα αρχεία iso και τα torrents είναι σε άλλο υπολογιστή, και δεν πειράχτηκαν. Ούτε το αρχείο με τα md5 που υπάρχει στο ftp από όπου τραβάν τα mirrors. Επηρεάστηκε μόνο το κείμενο μιας σελίδας html και έδειχνε σε ένα άλλο, μάλλον παραβιασμένο, υπολογιστή.

Αν κάποιος θέλει να κατεβάσει το mint σήμερα μπορεί να το κατεβάσει από εδώ
http://ftp.heanet.ie/mirrors/linuxmint.com/stable/17.3/
Εκεί θα βρει και τα md5, τα sha256 και τα κρυπτογραφημένα sha256 για την επαλήθευση.