|
||
|
||
Cамые опасные Linux-вирусы |
||
Максим Скида
Linux.RamenОпасный Интернет-червь, атакующий сервера под управлением операционных систем Red Hat Linux 6.2 и Red Hat Linux 7.0. Первые сообщения о появлении данного червя были получены из стран Восточной Европы, что позволяет подозревать его восточноевпропейское происхождение. Для своего размножения червь использует некоторые слабые места (vulnerabilities) в приложениях этих операционных систем Washington University's ftp server (wu-ftpd) и Remote Procedure Call stat server (rpc.statd) для Red Hat Linux 6.2 и LPRng (lpd) для Red Hat Linux 7.0. Указанные приложения обычно инсталлируются при установке операционной системы Red Hat Linux «по умолчанию" и без соответствующих «заплаток безопасности" (security patches) уязвимы для применяемых червем атак. Червь представляет собой архив с именем ramen.tgz, содержащий в себе 26 различных исполняемых файлов и shell-скриптов. Каждый исполняемый файл содержится в архиве в двух экземплярах: скомпилированный для запуска в Red Hat 6.2 и в Red Hat 7.0. Также в архиве содержится исполняемый файл с именем wu62, который при работе червя не используется. При старте червь устанавливает на tcp-порт 27374 небольшой HTTP-сервер, который на любой запрос к нему отдает основной файл червя ramen.tgz. Далее начинает работу скрипт start.sh, который определяет версию операционной системы Red Hat по наличию или отсутствию файла /etc/inetd.conf, копирует бинарные файлы, скомпилированные в соответствии с версией системы в файлы с именами, используемыми в дальнейшем для запуска из его скриптов, а затем запускает в фоновом, непрерываемом режиме три свои основные части:
При успешной отработке одной из этих атак на атакуемом сервере выполняется следующая последовательность операций:
Далее червь ищет в системе все файлы с именем index.html и заменяет их содержание на html-код, который выводит на экран следующий текст: «RameN Crew. Hackers looooooooooooooooove noodles." После этого червь удаляет файл /etc/hosts.deny для отмены всех запретов на соединения и получает вызовом своего shell-скрипта IP адрес атакованной машины. Затем червь копирует свой HTTP-сервер в файл /sdin/asp, прописывает его вызов путем задания соответствующих настроек в /etc/inetd.conf для Red Hat 6.2 или в /etc/xinetd.d для Red Hat 7.0 и переинициализирует сервис inetd/xinetd для запуска своего HTTP-сервера. Для предотвращения повторных попыток атак на данную систему вирус удаляет уязвимые сервисы:
Далее червь прописывает вызов своего start.sh в /etc/rc.d/rc.sysinit, что позволяет ему повторно активизироваться при каждой загрузке системы. При внешней безвредности червь чрезвычайно опасен, так как нарушает нормальное функционирование сервера: работа http-сервера будет нарушена уничтожением содержимого всех index.html файлов, анонимный ftp-доступ к серверу будет запрещен, cервисы rpc и lpd будут удалены, ограничения доступа через hosts.deny будут сняты. Червь использует в своем коде многие слегка модифицированные эксплоиты, доступные ранее на хакерских сайтах, а также на сайтах, посвященных сетевой безопасности. Cледует отметить, что червь использует при атаках «дыры", самая «свежая" из которых известна с конца сентября 2000 года. Однако тот факт, что при инсталляции системы на нее устанавливаются уязвимые сервисы, а многие пользователи и администраторы не производят должный мониторинг предупреждений о «слабых местах" системы и вовремя не производят их устранение, делает червь более чем жизнеспособным: в настоящее время зафиксированы многие случаи успешных атак систем этим червем. Linux.AdoreОчень опасный интернет-червь. Является компиляцией вирусов Linux.Ramen и Linux.Lion, используя для своего распространения все уязвимости, ранее применявшиеся данными вирусами, в различных сервисах. Кроме собственного размножения, вирус, так же как и ранее Linux.Lion, оставляет в системе backdoor для удаленного несанкционированного доступа к ней с привилегиями администратора. Источник - SoftТерра, http://www.softerra.ru
|
||
|
||
Copyright © "Internet Zone", http://www.izcity.com/, info@izcity.com |