Сайт дистрибутива Linux Mint был взломан, ISO скомпрометированы

Они в блоге пишут (в комментах), что Вордпресс им ломанули...

плюс этому господину. кто мешал спионерить и блог?

я уж молчу что заявить про скомпромитированность образа и опубликовать суммы новых iso без подписи - отличный способ распространить заразу.

В ISO есть возможность типа NOPов в исполняемых бинарниках?

Это не поможет, поскольку тебе понадобится ОЧЕНЬ большая вычислительная мощность, чтобы рассчитать, сколько мусора надо дописать к протрояненному образу.

если кто-то не проверяет

А с чего ты взял, что их тоже не поменяли?

Сайт недоступен, наверное упал от наплыва любопытствующих.

На мой любимый дистр покусились!

Найти и наказать! }:[

ping absentvodka.com
PING absentvodka.com (127.0.0.1) 56(84) bytes of data.
64 bytes from localhost (127.0.0.1): icmp_seq=1 ttl=64 time=0.096 ms
64 bytes from localhost (127.0.0.1): icmp_seq=2 ttl=64 time=0.081 ms
64 bytes from localhost (127.0.0.1): icmp_seq=3 ttl=64 time=0.081 ms
64 bytes from localhost (127.0.0.1): icmp_seq=4 ttl=64 time=0.093 ms
64 bytes from localhost (127.0.0.1): icmp_seq=5 ttl=64 time=0.096 ms

Они его сами положили до полного очищения.. Ибо, как я понял, их как минимум уже дважды хакнули, т.к. опять появлялись ссылки на левые образы после их исправления...

Отключить компьютер от сети
Скопировать любые персональные данные
Переустановить OS с полным переформатированием раздела
Поменять пароли от всех веб сайтов и почты

Ну еще осталось компьютер разбить и выкинуть в окно. На винде достаточно было запустить касперыча

уже дважды!?

Ого, как все запущенно.
Интересно, что они там внедряют.

На винде достаточно было запустить касперыча

Ну что же, счастлив, кто верует. Верует, что запуск касперыча поможет после установки протрояненной ОС.

Как они говорят, следы ведут в Болгарию... Неужели Киркоров бесперделит?

Всё это может быть подписано стотыщмильёном ключей стотыщмильённой разрядности, если никто не проверяет что скачал, какая от этого польза?

польза авторам/разработчикам, чтоб волну не гнали на них, а так буратины сами виноваты, если хотят всё «одной кнопкой» чтоб было, то это в микрософт, там нужны такие, без них там никак

у gentoo вообще все что только можно подписано

снимки дерева просроченным ключом скоро полгода будет, угу

А разве ebuild-ы кем-то подписаны? Возможно, подписываются при коммите в репозиторий дерева. Но какой толк от таких подписей, если при установке сверяются только чексуммы?

В арче вроде есть какое-то подобие WoT, в виде archlinux-keyring. Не знаю, насколько хорошо это реализовано, т.к. не пользуюсь арчем, но в генте `все что только можно` если и подписано, то WoT там никак не реализовано.

судя по адресу absentvodka.com, 7 из 10 это были наши приколисты.

как раз-таки 9 из 10, что не наши

Какие плохие, нехорошие люди.

Кому это вообще нужно? Что можно украсть у нищебродов-лялеховодов, тем более пользователей какой-то вялой мяты.

Ну как, а ddos?

Вордпресс им ломанули...

и как можно эту гадость в рот брать. статичный сайт на бутстрэпе куда надежнее этого говна.

и как бы сумму образа проверить, даже не с целью как в данной теме, а просто для сверки того чего скачал, во избежания последущих проблем с использованием образа, есть обычное дело

Если я сверяю лишь MD5 образов то я у мамы хакир или типичный ламер?

Лучше сверять SHA.

Является ли это достаточным условием безопасности если ломанули офсайт?

Если ты берёшь хеши с офсайта (а откуда ещё ты их можешь брать?), конечно же нет. Достаточное условие безопасности это заранее найти публичный ключ тех, кто подписывает образы и сверять ЭЦП, а не просто хеш. Вот ЭЦП подделать невозможно, если ты взломал только сайт (если, конечно, подписывающие относятся ответственно к своей работе).

на дебиан

хе-хе
PING absentvodka.com (127.0.0.1) 56(84) bytes of data.
64 bytes from localhost.localdomain (127.0.0.1): icmp_seq=1 ttl=64 time=0.013 ms
64 bytes from localhost.localdomain (127.0.0.1): icmp_seq=2 ttl=64 time=0.013 ms

Лол. Вся суть комнатных дистроделов.

Всё это может быть подписано стотыщмильёном ключей стотыщмильённой разрядности, если никто не проверяет что скачал, какая от этого польза?

польза авторам/разработчикам

А можно вот для домохозяина объяснить, как должно быть в идеальном мире? Или если есть такое в реальном, то дать пример. Как делается проверка легитимности ISO файла, когда основной сайт похакали?

PS: Я вот зашёл на страницу скачки ubuntu, а там даже и не https. Тоесть мужик по середине может подменить мне страницу загрузки.

На свою голову вчера установил образ lmde, где теперь искать суммы то правильные? или не рисковать и поставить нормальный дистрибутив?

От минта я такого не ожидал, решето!

Не удивлён.

А можно вот для домохозяина объяснить, как должно быть в идеальном мире? Или если есть такое в реальном, то дать пример. Как делается проверка легитимности ISO файла, когда основной сайт похакали?

правой кнопкой мышки на файле — свойства — вкладка с хешами

PS: Я вот зашёл на страницу скачки ubuntu, а там даже и не https. Тоесть мужик по середине может подменить мне страницу загрузки.

скажи косманавту об этом

Говорят, что только Корицу затронуло...

Шерето11111!!!!

правой кнопкой мышки на файле — свойства — вкладка с хешами

Спасибо КЭП, а где брать эталонную хэш сумму?

Ну да, у нас абсент с водкой не мешают, значит проклятые укры.

Пробежался по треду, Убунтоёбы оакзывается ненавидят Mint.

Когда-то Космонавт хотел схитрить и заманить пользователей создав «человечный дистр». А Mint взял да и переплюнул его. Теперь убунтоёбы на стену лезут...

Это не решето! Это банальный взлом сайта. А вот Windows — это решето!

Решето! Срочно все адепты на дебиан :)

А что сделали-то? Буквально только что поставил минт и тут эта новость, хэши совпадают, но как проверить, нет ли чего в системе?

когда качал и использовал ли зеркало или торрент?

ЛОРчую. Зело любопытно. Есть инфа?

Говорят можно проверить вот так

Наличие бэкдора можно проверить оценив присутствие файла /var/lib/man.cy в файловой системе (используется троян tsunami)

взято с опеннета

скачал пару часов назад с зеркала

Чисто, спасибо :)

Сигнатуры файлов должны совпадать со следующими

md5 sha1 sha256 sha512?

Спасибо КЭП, а где брать эталонную хэш сумму?

на сайте (в блоге) разработчика
//КЭП

Я 17-го числа качал, md5sum сошлись с упомянутыми, для интереса скачал ещё sha256 с зеркала яндекса и сравнил, тоже сошлись. Сам образ, кажется, тоже у них качал.

В своём блоге они пишут, что сами образы на зеркалах не пострадали. Проблема была именно в том, что на странице сайта была подмена прямой ссылки на образ. То есть образ скачивался не с их сайта, а с какого-то левого.

Решето! Срочно все адепты на дебиан :)

Решето это вордпресс на дебиан

образы они и не подписывают. как и саентифик, к примеру.

подписанные образы вспоминаются толко у слаквари, у остальных подписывают контрольные суммы.

Спасибо КЭП, а где брать эталонную хэш сумму?

на сайте (в блоге) разработчика

Так он взломан и нехорошие люди её просто поменяли на свою

Linux Mint

Какой процент пользователей этого дистрибутива среди знаменитого одного процента?

Говорят, вроде tsunami какой-то там...

стоило бы уточнить что это

6e7f7e03500747c6c3bfece2c9c8394f  linuxmint-17.3-cinnamon-32bit.iso
e71a2aad8b58605e906dbea444dc4983  linuxmint-17.3-cinnamon-64bit.iso
ad46900208e69a952b3c4e1bc7f941e5  linuxmint-17.3-mate-32bit.iso
d3c0ef9d0c0c93ab7109fa2ef1db0c28  linuxmint-17.3-mate-64bit.iso
30fef1aa1134c5f3778c77c4417f7238  linuxmint-17.3-cinnamon-nocodecs-32bit.iso
3406350a87c201cdca0927b1bc7c2ccd  linuxmint-17.3-cinnamon-nocodecs-64bit.iso
d2b0e3867e7be494e5f6a20c15601e8b  linuxmint-17.3-mate-nocodecs-32bit.iso
2ba56a8589aa57063a999027c851cfe3  linuxmint-17.3-mate-nocodecs-64bit.iso
df38af96e99726bb0a1ef3e5cd47563d  linuxmint-17.3-cinnamon-oem-64bit.iso
1a6f14e00b74d9fdc20bd475865e0c3a  linuxmint-17.3-mate-oem-64bit.iso
6a42a8ec6ad050ada8478ba2f0d8586b  linuxmint-17.3-kde-32bit.iso
9fae1a87bebe4b57f6a587272f0cee3d  linuxmint-17.3-kde-64bit.iso
40a2056d20e67d6732d3fd679a6f5f0d  linuxmint-17.3-xfce-32bit.iso
729c92e3ef247bbc12104e6c14a2b95e  linuxmint-17.3-xfce-64bit.iso