El domingo 28 de noviembre el servidor principal de distribución de archivos del proyecto ProFTPD se ha visto comprometido y la versión 1.3.3c reemplazada por otra con una puerta trasera.
ProFTP es un servidor FTP promocionado como estable y seguro, configurable y de diseño modular, permitiendo de esta manera escribir extensiones como cifrado SSL/TLS, RADIUS, LDAP o SQL.
Al parecer el atacante empleó para acceder al servidor una vulnerabilidad no corregida en el propio dominio FTP. De esta forma pudo reemplazar los archivos fuente para la versión ProFTPD 1.3.3c con una versión modificada conteniendo una puerta trasera.
Todavía no está claro qué vulnerabilidad usaron los atacantes para acceder. Si fuera una falla conocida, esto indicaría que ProFTPD no ha parcheado sus propios servidores a tiempo. Si fuera desconocida y solo la pudiesen utilizar los atacantes, no tendrían necesidad de troyanizar la distribución central de ProFTPD, puesto que esa falla ya les permitiría de por sí tener acceso a los servidores.
La modificación no autorizada del código fuente fue advertida por Jeroen Geilman el miércoles 1 de diciembre y solucionada posteriormente.
El servidor actúa como si fuera el site principal de ProFTPD así como servidor de distribución rsync para todos los servidores espejo. Esto significa que cualquier persona que haya descargado la versión ProFTPD 1.3.3c de uno de los espejos oficiales entre los días 28 de noviembre y 1 de diciembre están afectados por este problema.
La puerta trasera incluida por los atacantes permite acceso remoto con permisos de root a usuarios no autenticados en los sistemas que estén ejecutando la versión modificada del dominio ProFTPD dándole al atacante control total sobre el sistema.
El atacante ha realizado dos cambios en el programa. En primer lugar, el ProFTPD troyanizado se pone en contacto con la dirección IP 212.26.42.47 en el puerto 9090, y realiza una petición
GET /AB HTTP/1.0
Con esta petición en los logs, el atacante ya sabe qué máquina ha usado su ProFTPD troyanizado y dónde acudir. En segundo lugar, el atacante se conecta a ese servidor por FTP y escribe:
HELP ACIDBITCHEZ
Lo que le dará acceso root. La palabra ACIDBITCHEZ ha sido arbitrariamente elegida por el atacante.
Se recomienda a los usuarios que estén utilizando dicha versión que comprueben si sus sistemas se han visto comprometidos y compilen o ejecuten una versión actualizada del código.
Para verificar la integridad de los archivos fuente, se recomienda el uso de las firmas GPG disponibles tanto en los diferentes servidores FTP así como en la página oficial del proyecto ProFTPD:
http://www.proftpd.org/md5_pgp.html
Hash MD5:
018e0eb1757d9cea2a0e17f2c9b1ca2d proftpd-1.3.2e.tar.bz2
4ecb82cb1050c0e897d5343f6d2cc1ed proftpd-1.3.2e.tar.gz
8571bd78874b557e98480ed48e2df1d2 proftpd-1.3.3c.tar.bz2
4f2c554d6273b8145095837913ba9e5d proftpd-1.3.3c.tar.gz
Firmas PGP:
proftpd-1.3.2e.tar.bz2.asc
- -----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
iEYEABECAAYFAkuFYtsACgkQt46JP6URl2rqVACgzefr58XHVoh2ARERbkW5qPzb
Qj4AoOwwH55FlS7OM8sBjELT0OhrN0jQ
=E6hR
- -----END PGP SIGNATURE-----
proftpd-1.3.2e.tar.gz.asc
- -----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
iEYEABECAAYFAkuFYuAACgkQt46JP6URl2pTVQCeJ7HM7ltLwJwb4TQ3AwT9j36n
/ywAn3rB6HRVDGTF2WuOJgn/dss7VWeV
=G553
- -----END PGP SIGNATURE-----
proftpd-1.3.3c.tar.bz2.asc
- -----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
iEYEABECAAYFAkzLAWYACgkQt46JP6URl2qu3QCcDGXD+fRPOdKMp8fHyHI5d12E
83gAoPHBrjTFCz4MKYLhH8qqxmGslR2k
=aLli
- -----END PGP SIGNATURE-----
proftpd-1.3.3c.tar.gz.asc
- -----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
iEYEABECAAYFAkzLAW0ACgkQt46JP6URl2ojfQCfXy/hWE8G5mhdhdLpaPUZsofK
pO8Anj+uP0hQcn1E/CEUddI0mezlSCmg
=e8el
- -----END PGP SIGNATURE-----
Si quieren más información pueden visitar: http://www.hispasec.com/unaaldia/4422
No hay comentarios:
Publicar un comentario