Servidores de Kernel.org comprometidos durante más de dos semanas

[wolfbcn]

Kernel.org ha anunciado que el día 28 de agosto descubrieron que alguien había conseguido ser root en sus servidores. Al parecer el código del Kernel no se ha visto alterado, aunque tienen que comprobarlo. El servidor parecía llevar comprometido unas dos semanas.

Atacantes han llegado a tener acceso root a ciertos servidores (uno de ellos Hera), al parecer sobre el 12 de agosto. Quizás pudieron hacerse con las credenciales de algún usuario y luego conseguir root. Con estos privilegios, modificaron ficheros del servidor OpenSSH ejecutándose en esa máquina y añadieron un troyano para que se lanzase en el inicio de sistema. La organización de Kernel.org han registrado todos los movimientos de los usuarios y los están investigando, además de reinstalar, avisar a las autoridades, analizando código... y todos los pasos necesarios en estos casos. Entre ellos, modificar las credenciales de los 448 usuarios de kernel.org e incluso eliminar por precaución algunos paquetes de los servidores.

Aseguran que es muy complicado que se haya modificado alguno de los más de 40.000 ficheros que componen el Kernel en sí, debido a la naturaleza distribuida del Git. Además el sistema de integridad SHA1 utilizado, hace que cualquier modificación pueda ser detectada por cualquier desarrollador al actualizar de los repositorios.

Estaremos atentos a posteriores noticias.

Sergio de los Santos
ssantos@hispasec.com
Twitter: @ssantosv

FUENTE :http://www.hispasec.com/unaaldia/4695

[Slava_TZD]

Gracias (al mod) por no solo cerrar la noticia (http://foro.elhacker.net/noticias/security_breach_on_kernelorg_en-t337925.0.html) sino por borrarla, y cambiar el 90% de su contenido por "LEE...+link a esta noticia", pues bien, la noticia ya la había leído aca, y me supo a poco, por eso pensé en publicar exactamente lo que dijeron en kernel.org, para que quien lea noticias en elhacker.net se pueda enterar de que scripts maliciosos fueron añadidos al inicio o exactamente que servidor fue comprometido, porque la gravedad de la noticia lo exige...Lo dicho, Gracias, acá se puede leer literalmente lo que dijeron en kernel.org -> http://www.kernel.org/

[Servia]

Gracias (al mod) por no solo cerrar la noticia (http://foro.elhacker.net/noticias/security_breach_on_kernelorg_en-t337925.0.html) sino por borrarla, y cambiar el 90% de su contenido por "LEE...+link a esta noticia", pues bien, la noticia ya la había leído aca, y me supo a poco, por eso pensé en publicar exactamente lo que dijeron en kernel.org, para que quien lea noticias en elhacker.net se pueda enterar de que scripts maliciosos fueron añadidos al inicio o exactamente que servidor fue comprometido, porque la gravedad de la noticia lo exige...Lo dicho, Gracias, acá se puede leer literalmente lo que dijeron en kernel.org -> http://www.kernel.org/

Tranquilo, no eres el primero al que wolfbcn le borra un topic porque sólo él cree tener derecho para postear noticias. Aquí en vez de censura se le llama wolfbcn.

[Foxy Rider]

Este artículo me gustó como abordó el tema -> https://www.linux.com/news/featured-blogs/171-jonathan-corbet/491001-the-cracking-of-kernelorg
Como para agregar algo más de información ~

Saludos.