Ho eseguito la GUI di Update Manager. Quando gli ho chiesto di installare tutti i pacchetti, mi ha chiesto di assicurarmi di voler installare. C'erano 3 elenchi a discesa di pacchetti, uno dei quali era denominato "NON AUTORIZZATO". Quindi sono tornato indietro e ho provato a installare i pacchetti uno alla volta. Ne ho selezionato uno chiamato "ca-certificates", perché ho pensato che se l'avessi fatto avrei potuto installare gli altri senza avvisi e ho pensato che avrei avuto la possibilità di dire di no. Ma quando l'ho eseguito con un solo pacchetto, è andato avanti e installato senza che me lo chiedesse. E penso che uno potrebbe essere stato nella lista dei cattivi la prima volta. Quindi ora ho un aggiornamento potenzialmente dannoso.
Come faccio a sapere se questo era legittimo? E se non lo era, come lo rimuovo?
Non vedo nulla di sospetto né nell'output della console né in /var/log/dpkg.log , ma posso pubblicare entrambi se è utile.
Sto usando Linux Mint versione 1.17.3 con dpkg versione 1.17.5. Non conosco la versione di Update Manager (ma è un file chiamato /usr/lib/linuxmint/mintUpdate/mintUpdate.py ).
/var/log/dpkg.log :
2017-11-05 12:12:26 startup archives unpack
2017-11-05 12:12:32 upgrade ca-certificates:all 20160104ubuntu0.14.04.1 20170717~14.04.1
2017-11-05 12:12:32 status half-configured ca-certificates:all 20160104ubuntu0.14.04.1
2017-11-05 12:12:32 status unpacked ca-certificates:all 20160104ubuntu0.14.04.1
2017-11-05 12:12:32 status half-installed ca-certificates:all 20160104ubuntu0.14.04.1
2017-11-05 12:12:32 status triggers-pending man-db:amd64 2.6.7.1-1ubuntu1
2017-11-05 12:12:33 status half-installed ca-certificates:all 20160104ubuntu0.14.04.1
2017-11-05 12:12:33 status unpacked ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:33 status unpacked ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:33 trigproc man-db:amd64 2.6.7.1-1ubuntu1 2.6.7.1-1ubuntu1
2017-11-05 12:12:33 status half-configured man-db:amd64 2.6.7.1-1ubuntu1
2017-11-05 12:12:34 status installed man-db:amd64 2.6.7.1-1ubuntu1
2017-11-05 12:12:35 startup packages configure
2017-11-05 12:12:35 configure ca-certificates:all 20170717~14.04.1 <none>
2017-11-05 12:12:35 status unpacked ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:35 status half-configured ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:37 status installed ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:37 status triggers-pending ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:38 trigproc ca-certificates:all 20170717~14.04.1 <none>
2017-11-05 12:12:38 status half-configured ca-certificates:all 20170717~14.04.1
2017-11-05 12:12:43 status installed ca-certificates:all 20170717~14.04.1
output della console dall'aggiornamento:
(synaptic:12479): GLib-CRITICAL **: g_child_watch_add_full: assertion 'pid > 0' failed
Preconfiguring packages ...
(Reading database ... 180668 files and directories currently installed.)
Preparing to unpack .../ca-certificates_20170717~14.04.1_all.deb ...
Unpacking ca-certificates (20170717~14.04.1) over (20160104ubuntu0.14.04.1) ...
Processing triggers for man-db (2.6.7.1-1ubuntu1) ...
Setting up ca-certificates (20170717~14.04.1) ...
Processing triggers for ca-certificates (20170717~14.04.1) ...
Updating certificates in /etc/ssl/certs... WARNING: Skipping duplicate certificate Go_Daddy_Class_2_CA.pem
WARNING: Skipping duplicate certificate Go_Daddy_Class_2_CA.pem
17 added, 42 removed; done.
Running hooks in /etc/ca-certificates/update.d....
Adding debian:AC_RAIZ_FNMT-RCM.pem
Adding debian:Amazon_Root_CA_1.pem
Adding debian:Amazon_Root_CA_2.pem
Adding debian:Amazon_Root_CA_3.pem
Adding debian:Amazon_Root_CA_4.pem
Adding debian:Certplus_Root_CA_G1.pem
Adding debian:Certplus_Root_CA_G2.pem
Adding debian:Certum_Trusted_Network_CA_2.pem
Adding debian:Hellenic_Academic_and_Research_Institutions_ECC_RootCA_2015.pem
Adding debian:Hellenic_Academic_and_Research_Institutions_RootCA_2015.pem
Adding debian:ISRG_Root_X1.pem
Adding debian:LuxTrust_Global_Root_2.pem
Adding debian:OpenTrust_Root_CA_G1.pem
Adding debian:OpenTrust_Root_CA_G2.pem
Adding debian:OpenTrust_Root_CA_G3.pem
Adding debian:SZAFIR_ROOT_CA2.pem
Adding debian:TUBITAK_Kamu_SM_SSL_Kok_Sertifikasi_-_Surum_1.pem
Removing debian:AC_Raíz_Certicámara_S.A..pem
Removing debian:ApplicationCA_-_Japanese_Government.pem
Removing debian:Buypass_Class_2_CA_1.pem
Removing debian:CA_Disig.pem
Removing debian:ComSign_CA.pem
Removing debian:EBG_Elektronik_Sertifika_Hizmet_Sağlayıcısı.pem
Removing debian:Equifax_Secure_CA.pem
Removing debian:Equifax_Secure_Global_eBusiness_CA.pem
Removing debian:Equifax_Secure_eBusiness_CA_1.pem
Removing debian:IGC_A.pem
Removing debian:Juur-SK.pem
Removing debian:Microsec_e-Szigno_Root_CA.pem
Removing debian:NetLock_Business_=Class_B=_Root.pem
Removing debian:NetLock_Express_=Class_C=_Root.pem
Removing debian:NetLock_Notary_=Class_A=_Root.pem
Removing debian:NetLock_Qualified_=Class_QA=_Root.pem
Removing debian:RSA_Security_2048_v3.pem
Removing debian:Root_CA_Generalitat_Valenciana.pem
Removing debian:S-TRUST_Authentication_and_Encryption_Root_CA_2005_PN.pem
Removing debian:Sonera_Class_1_Root_CA.pem
Removing debian:Staat_der_Nederlanden_Root_CA.pem
Removing debian:StartCom_Certification_Authority.pem
Removing debian:StartCom_Certification_Authority_2.pem
Removing debian:StartCom_Certification_Authority_G2.pem
Removing debian:SwissSign_Platinum_CA_-_G2.pem
Removing debian:TC_TrustCenter_Class_3_CA_II.pem
Removing debian:UTN_USERFirst_Email_Root_CA.pem
Removing debian:Verisign_Class_1_Public_Primary_Certification_Authority.pem
Removing debian:Verisign_Class_1_Public_Primary_Certification_Authority_-_G2.pem
Removing debian:Verisign_Class_1_Public_Primary_Certification_Authority_-_G3.pem
Removing debian:Verisign_Class_2_Public_Primary_Certification_Authority_-_G2.pem
Removing debian:Verisign_Class_2_Public_Primary_Certification_Authority_-_G3.pem
Removing debian:Verisign_Class_3_Public_Primary_Certification_Authority.pem
Removing debian:Verisign_Class_3_Public_Primary_Certification_Authority_-_G2.pem
Removing debian:Verisign_Class_3_Public_Primary_Certification_Authority_2.pem
Removing debian:WellsSecure_Public_Root_Certificate_Authority.pem
Removing debian:WoSign.pem
Removing debian:WoSign_China.pem
Removing debian:CA_WoSign_ECC_Root.pem
Removing debian:Certification_Authority_of_WoSign_G2.pem
Removing debian:S-TRUST_Universal_Root_CA.pem
Removing debian:TÜRKTRUST_Elektronik_Sertifika_Hizmet_Sağlayıcısı_H6.pem
done.
done.
Risposta accettata:
Se il pacchetto era dannoso, aveva già la possibilità di eseguire codice con privilegi di root, inclusa la cancellazione di registri e tracce di ciò che ha fatto, quindi potresti semplicemente dover considerare il server compromesso, indipendentemente dal fatto che tu ne trovi le prove o meno, a seconda sulle tue polizze.
Correlati:cercare il testo sull'output del terminale?
In caso contrario, e se hai configurato solo i repository ufficiali su /etc/apt/sources.list e /etc/apt/sources.d (come commentato da @roaima), puoi presumere che nulla sia andato storto poiché questi pacchetti sono firmati e le loro firme verificate prima di installarli.
Tuttavia, se vuoi ricontrollare qualcosa ora, puoi verificare gli hash elencati qui rispetto al file che hai su /var/cache/apt/archives/ca-certificates_20170717~14.04.1_all.deb . Per quell'esecuzione sha256sum /var/cache/apt/archives/ca-certificates_20170717~14.04.1_all.deb e confronta la stringa, carattere per carattere, con ciò che vedi nella pagina di Ubuntu. Se corrispondono esattamente puoi dire che era il file che hai installato e che proveniva da Ubuntu (Mint non fornisce il proprio pacchetto di certificati, come puoi confermare cercando qui).
Per tua comodità, l'hash che ho ottenuto da quella pagina è 3b464250889051e2da74d123d9d440572158d87583090c75be9eab7c2e330f14 .
Anche in questo caso, se il pacchetto era dannoso, è troppo tardi, in caso contrario, lascialo lì o rimuovilo come al solito con apt-get remove ca-certificates .
Se non riesci a trovare quel file, forse ho ricevuto la versione sbagliata dai tuoi log o la cache apt è già stata pulita sul tuo computer, il che renderebbe davvero difficile verificare ciò che hai scaricato.