Client pertama yang nanya, setelah Yahoo Status di pajang di PasarHosting

(10:41:13 PM) cs2_tunasindo: bos
(10:41:14 PM) cs2_tunasindo: malem
(10:41:16 PM) cs2_tunasindo: mau tanya nih'
(10:41:19 PM) cs2_tunasindo has buzzed you!
(10:41:30 PM) cs2_tunasindo: www.klikxxxxxx.com gak bisa dibuka kenapa yak
(10:41:32 PM) erahman2001: silahkan pak
(10:42:54 PM) erahman2001: terbuka dengan baik o pak
(10:43:06 PM) cs2_tunasindo: sebentar
(10:43:38 PM) cs2_tunasindo: kenapa disini gak bisa dibuka ya?
(10:43:47 PM) cs2_tunasindo: biasanya apanya tuh?
(10:44:04 PM) erahman2001: ada kemungkin salah masukin password lebih dari 3 kali
(10:44:19 PM) erahman2001: baik cpanel ato webmail pak
(10:44:25 PM) cs2_tunasindo: trus?
(10:44:31 PM) cs2_tunasindo: solusinya gimana dong
(10:44:31 PM) erahman2001: jadi kemungkinnan IP address nya di band
(10:44:42 PM) erahman2001: kalo boleh tau IP bapak berapa ?
(10:44:49 PM) cs2_tunasindo: IP yang mana?
(10:45:03 PM) erahman2001: ip internet nya yang bapak pakai sekarang ?
(10:45:08 PM) cs2_tunasindo: sebentar
(10:46:13 PM) cs2_tunasindo: 125.161.xxx.xxx
(10:47:11 PM) erahman2001: mohon tunggu sebentar pak >:D<
(10:47:23 PM) cs2_tunasindo: ok
(10:47:56 PM) erahman2001: oke pak
(10:48:16 PM) erahman2001: silahkan di resfresh web browser nya untuk www.klikxxxxxx.com
(10:48:21 PM) cs2_tunasindo: ok
(10:48:39 PM) cs2_tunasindo: siip
(10:48:46 PM) cs2_tunasindo: itu gimana ceritanya bos
(10:48:53 PM) cs2_tunasindo has buzzed you!
(10:49:02 PM) erahman2001: ach jangan panggil bos pak
(10:49:04 PM) erahman2001: 
(10:49:12 PM) cs2_tunasindo: soalnya tadi mau edit
(10:49:29 PM) cs2_tunasindo: eh masuk cpanel lulpa user ama pass
(10:49:32 PM) cs2_tunasindo: gak sesuai
(10:49:40 PM) cs2_tunasindo: hehehe
(10:49:40 PM) erahman2001: begini dari IP yang bapak gunakan ada kemungkinnan salah masukkan password cpanel / webmail ato akses apapun ke server bentuk nya
(10:49:57 PM) erahman2001: ketika 3 x salah masukin password maka server akan ngeblock IP bapak
(10:50:32 PM) erahman2001: server menganggap IP tsb akan melakukan tindakan tindakan ilegal / hacking
(10:50:43 PM) cs2_tunasindo: oooo
(10:50:51 PM) erahman2001: demi keamanan server dan situs bapak .. jadi server memblock ip tsb
(10:51:16 PM) erahman2001: di khawatirkan ada yang berusaha menebak-nebak password
(10:51:27 PM) erahman2001: begitu pak >:D<
(10:51:32 PM) cs2_tunasindo: iya deh
(10:51:36 PM) erahman2001: silahkan di edit web nya pak
(10:51:55 PM) erahman2001: ada lagi yang bisa saya bantu pak >:D<
(10:52:12 PM) cs2_tunasindo: sementara itu dulu
(10:52:41 PM) erahman2001: terima kasih pak .. semoga sukses dengan klikxxxxxx.com
(10:53:15 PM) cs2_tunasindo: iya
(10:53:22 PM) cs2_tunasindo: tapi ini belum sukses mau ngeditnya ni
(10:53:36 PM) cs2_tunasindo: nyari orang yang dulu daftarin dulu
(10:53:57 PM) erahman2001: pastinya ada proses pak ..
(10:54:02 PM) erahman2001: <-- ikut mendoakan

Iseng iseng .. cek, sambil nunggu jam pulang kerja

# ps -aux

aih aih .. ini seh jam pulang kerja bakalan telat lagi :

# ps aux|grep nobody
USER       PID %CPU %MEM   VSZ  RSS  TT  STAT STARTED      TIME COMMAND
nobody    6003  0.0  0.2  3952 3556  ??  S     7:02AM   0:31.37 /bin/bash(perl)
……….
……….
[dan seterusnya]

Siaga Satu !!!!

Hehehe nah pertanyaan nya adalah kenapa dianggap mencurigakan? memang sih agak-agak susah untuk mengkatagorikan suato proses mencurigakan atau tidak soalnya perlu sedikit pengalaman dan sering baca-baca. Tapi yang pasti untuk kasus diatas gampang banget mengetahui kalau proses tersebut mencurigakan alasannya yaitu.

1. User nobody gak punya shell jadi dia gak di ijinin buat login (/bin/bash itu kan shell)
2. /bin/bash itu aplikasi mandiri sementara disini /bin/bash (perl) yang artinya dia itu perl yang di eksekusi seolah-oleh /bin/bash

Ok dari dua kemungkinan itu aja dulu kita udah ada gambaran untuk mencurigai proses dengan PID 6003 tersebut. Selanjutnya saya berusaha memastikan apakah betul-betul ilegal atau tidak dengan cara mengetikan ps axj dan berikut ini hasilnya

# ps axj|grep nobody
USER       PID  PPID  PGID   SESS JOBC STAT  TT       TIME COMMAND
nobody    6003     1  6003 c83f5c40    0 S     ??    0:31.46 /bin/bash (perl)
nobody   17104 18172 18172 c5123900    0 S     ??    0:00.37 /usr/local/apache/bin/httpd -DSSL
nobody   19345 18172 18172 c5123900    0 S     ??    0:00.15 /usr/local/apache/bin/httpd -DSSL
……….
……….
[dan seterusnya]

Kemudian kita cari tahu ada di mana sih aplikasi yang sedang jalan ini

# lsof -a -d cwd -p 6003
COMMAND  PID   USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
perl    6003 nobody  cwd   VDIR 116,131072     1024    2 /

Nah lho koq di / (root) kan disana gak ada bash katanya di /bin/

ok semakin terlihat kejanggalan proses tersebut dimana PPID nya 1 nah udah lah lengkap sudah kecurigaan nya sekarang mari kita mencari apa yang harus dicari.

# lsof -i -a -n -p 6003
COMMAND  PID   USER   FD   TYPE     DEVICE SIZE/OFF NODE NAME
perl    6003 nobody    3u  IPv4 0xe5892a00      0t0  TCP *:sd (LISTEN)

Dari hasil lsof dengan option -i -a -n -p ketemu deh kalo ternyata dia juga membuka port dengan nama sd. hmmm sd apaan ya??? ya udah lah cari tau dulu sd itu apa dan port berapa.

# cat /etc/services |grep sd sd
9876/tcp   #Session Director sd
9876/udp   #Session Director

Nah nah ternyata port nya 9876 namanya Session Director sekarang kita test siapa tau dapet info lebih dari port tersebut.

# netstat -an |grep 9876
tcp4       0      0  *.9876                 *.*                    LISTEN

Ketemu open port tcp4 port 9876 di semua IP yang ada di box sekarang kita coba port tersebut.

# telnet localhost 9876 T
rying 127.0.0.1…
Connected to 127.0.0.1.
Escape character is ‘^]’.
Sua senha:
Senha Incorreta!
Connection closed by foreign host.

Naaah ketemu ternyata ketika di test menggunakan telnet di langsung respon dengan Sua senha (artinya kira-kira Password Euy dalam bahasa portugis) kemudian setelah dicoba ngetik sembarang text dia langsung keluar pesan Senha Incorreta! (password salah) dan close. Ya udah lah gpp toh cuman ngetes dowang yang pasti sekarang tau kalau kemungkinan aplikasi yang sedang jalan itu adalah bot atau shell (backdoor?) yang pasti ilegal.

Lanjut berhubung dengan lsof tidak ditemukan lokasi dari aplikasi asli yang sedang berjalan kemungkinan ini adalah bot hit and run yang biasa dipake ketika orang inject web (biasanya mambo). Dimana dia akan mendownload file kemudian menjalankan file tersebut dan kabur yang kemudian bikin pusing admin box karena file nya tidak ada tapi proses nya jalan terus.

Ya udah lah sekarang kita matiin dulu prosess nya biar server gak terlalu berat.

# kill -9 6003

Selanjutnya kita iseng-iseng mencari siapa tahu bisa ketemu file yang bisa dipakai untuk download atau mendapatkan shell access untuk user nobody. Karena sudah pasti kalau nobody bisa meng execute file ber extensi PHP dan ada yang namanya phpshell maka yang kita kejar sekarang adalah file PHP yang ada kata-kata wget didalam nya.

# cd /home find ./*/public_html/ -depth 1 -name “*.php” | xargs grep “wget”

dan berikut ini adalah salah satu contoh hasil dari proses diatas.

./xxeditedxx/public_html/samiyo.php:echo sr(15,”<strong>”.$lang[$language.'_text16'].$arrow.”</strong>”,”
<select name=”\”with\”"><option value=”\”wget\”">wget</option><option value=”\”fetch\”">fetch</option><option value=”\”lynx\”">lynx</option><option value=”\”links\”">links</option><option value=”\”curl\”">curl</option><option value=”\”GET\”">GET</option></select>

“.in(’hidden’,'dir’,0,$dir).ws(2).”<strong>”.$lang[$language.'_text17'].$arrow.”</strong>”.in(’text’,'rem_file’,78,’http://’));

Nah selanjutnya tinggal masuk ke folder tersebut dan hapus atau kalau mau sadis ya suspend aja deh account host-nya :P.