Net-Worm.Linux.Adm

Technische Details

Dies ist der Wurm, der Linux-Systeme infiziert. Der Wurm wurde im Frühjahr 1998 entdeckt. Er verbreitet sich von System zu System, indem er eine Linux-Sicherheitslücke (sog. "Buffer overrun" -Verstörung) nutzt, die es erlaubt, auf ein entferntes System hochzuladen und dort einen kurzen Code auszuführen, der dann heruntergeladen und aktiviert wird die Hauptwurmkomponente.

Der Wurm verwendet eine Sicherheitsverletzung in dem Programmpaket BIND (Berkeley Internet Name Domain), das in vielen gängigen UNIX-Paketen vertrieben wird und einen Namensdienst für das Internet bereitstellt.

Der Wurm selbst

Dies ist ein Mehrkomponenten-Wurm, der aus 8 Dateien besteht. Diese Dateien sind Skriptprogramme und ausführbare Dateien. Die Skriptprogramme sind ".sh" -Dateien, die von der Linux-Befehlsshell ausgeführt werden. Die ausführbaren Dateien sind Standard-Linux-ELF-Programme.

Die Hauptkomponenten des Wurms sind Skriptdateien ".sh", die als Hosts ausgeführt werden, und dann die Restdateien (zusätzliche ".sh" -Dateien und ausführbare ELF-Dateien) ausführen, um die erforderlichen Aktionen auszuführen.

Die Liste der Komponenten sieht folgendermaßen aus:

 ADMw0rm H-Name



 gimmeIP remotecmd



 gimRAND scanco



 Inkrementeller Test

Verbreitung

Die Verbreitung (Infizierung eines entfernten Linux-Rechners) erfolgt durch einen "Buffer Overrun" -Angriff. Dieser Angriff wird als spezielles Paket ausgeführt, das an eine angegriffene Maschine gesendet wird. Das Paket enthält einen Block speziell präparierter Daten. Der Datenblock des Pakets wird dann als Code auf diesem Rechner ausgeführt. Dieser Code öffnet eine Verbindung zur infizierten Maschine, ruft den Rest des Wurmcodes ab und aktiviert ihn. In diesem Moment ist die Maschine infiziert und beginnt, den Wurm weiter zu verbreiten.

Der Wurm wird von einer Maschine als ein "tgz" -Archiv (Standard-UNIX-Archiv) mit dem Namen "ADMw0rm.tgz" mit 8 Wurmkomponenten in die Maschine übertragen. Beim Infizieren einer neuen Maschine entpackt der Wurm das Paket dort und führt die Hauptdatei "ADMw0rm" aus, die dann die Komponenten des anderen Wurms aktiviert.

Einzelheiten

Um IP-Adressen von Remote-Rechnern zu erhalten, die sie angreifen, durchsucht der Wurm das verfügbare globale Netzwerk nach IP-Adressen mit Computern und DNS-Servern, die auf ihm installiert sind.

Um das entfernte System anzugreifen, benutzt der Wurm Sicherheitslücken in Linux: "named".

Zum Hochladen und Aktivieren seiner Kopie auf dem Remote-Computer enthält der Wurm "Pufferüberlauf" -Code die Anweisungen, die zu "Root" -Privilegien wechseln, die Befehlsshell ausführen und den Befehlen folgen:

• Läuft das Deamon "/ usr / sbin / named"
• erstellt das Verzeichnis zum Herunterladen der Wurmdatei "tgz", der Verzeichnisname lautet "/tmp/.w0rm0r"
• Läuft "ftp" (standart Linux-Programm), das die Wurmdatei "tgz" von der Hostmaschine herunterlädt (Maschine, von der der Wurm verbreitet wird)
• entpackt alle Wurm-Komponenten aus dem Archiv "tgz"
• Führt die Wurmstartkomponente aus: die Datei "ADMw0rm"

Verschiedenes

Der Wurm hat mehrere Nutzlast- und andere Nicht-Infektionsroutinen.

Zuerst findet es auf der lokalen Maschine beginnend vom Wurzelverzeichnis alle "index.html" -Dateien (Web-Server startet Seiten) und ersetzt sie durch seine eigene "index.html" -Datei, die den Text enthält:

Der ADM Inet w0rm ist da!

Der Wurm löscht die Datei "/etc/hosts.deny". Diese Datei enthält die Liste der Hosts (Adressen und / oder Inet-Namen), denen der Zugriff auf dieses System verweigert wird (falls ein so genannter TCP-Wrapper verwendet wird). Als Ergebnis können eingeschränkte Maschinen auf das betroffene System zugreifen.

Wenn ein neues System infiziert wird, sendet der Wurm Benachrichtigungen an die E-Mail-Adresse "admsmb@hotmail.com".