Net-Worm.Linux.Adm

Hauptgruppierung: VirWare

Viren und Würmer sind bösartige Programme, die sich auf Computern oder in Computernetzwerken replizieren, ohne dass der Benutzer dies bemerkt. Jede nachfolgende Kopie solcher Schadprogramme kann sich auch selbst replizieren.

Schädliche Programme, die sich über Netzwerke ausbreiten oder entfernte Maschinen infizieren, wenn dies vom "Eigentümer" (z. B. Hintertüren) verlangt wird, oder Programme, die mehrere Kopien erstellen, die sich nicht selbst replizieren können, gehören nicht zur Unterklasse Viren und Würmer.

Das Hauptmerkmal, das verwendet wird, um zu bestimmen, ob ein Programm als separates Verhalten innerhalb der Unterklasse Viren und Würmer klassifiziert ist, ist, wie sich das Programm verbreitet (dh wie das bösartige Programm Kopien von sich über lokale oder Netzwerkressourcen verbreitet).

Die meisten bekannten Würmer verteilen sich als Dateien, die als E-Mail-Anhänge gesendet werden, über einen Link zu einer Web- oder FTP-Ressource, über einen Link in einer ICQ- oder IRC-Nachricht, über P2P-Filesharing-Netzwerke usw.

Einige Würmer verbreiten sich als Netzwerkpakete; diese dringen direkt in den Computerspeicher ein und der Wurmcode wird dann aktiviert.

Würmer verwenden die folgenden Techniken, um entfernte Computer zu durchdringen und Kopien von sich selbst zu starten: Social Engineering (z. B. eine E-Mail-Nachricht, die darauf hinweist, dass der Benutzer eine angehängte Datei öffnet), Ausnutzen von Netzwerkkonfigurationsfehlern (z. B. Kopieren auf eine voll zugängliche Festplatte) Lücken in der Betriebssystem- und Anwendungssicherheit.

Viren können nach der Methode aufgeteilt werden, die zum Infizieren eines Computers verwendet wird:

Dateiviren
Boot-Sektor-Viren
Makroviren
Skriptviren
Jedes Programm in dieser Unterklasse kann zusätzliche Trojanerfunktionen haben.

Es sollte auch beachtet werden, dass viele Würmer mehr als eine Methode verwenden, um Kopien über Netzwerke zu verbreiten. Die Regeln zum Klassifizieren erkannter Objekte mit mehreren Funktionen sollten verwendet werden, um diese Arten von Würmern zu klassifizieren.

Kategorie: Net-Worm

Net-Worms propagieren über Computernetze. Das Unterscheidungsmerkmal dieser Art von Wurm ist, dass keine Benutzeraktion erforderlich ist, um sich zu verbreiten.

Diese Art von Wurm sucht normalerweise nach kritischen Schwachstellen in Software, die auf Computern im Netzwerk ausgeführt wird. Um die Computer im Netzwerk zu infizieren, sendet der Wurm ein speziell gestaltetes Netzwerkpaket (ein Exploit genannt) und als Folge dringt der Wurmcode (oder ein Teil des Wurmcodes) in den Opfercomputer ein und aktiviert ihn. Manchmal enthält das Netzwerkpaket nur den Teil des Wurmcodes, der eine Datei mit dem Hauptwurmmodul herunterlädt und ausführt. Einige Netzwerkwürmer verwenden mehrere Exploits gleichzeitig, um sich zu verbreiten und erhöhen so die Geschwindigkeit, mit der sie Opfer finden.


Mehr Informationen

Plattform: Linux

Linux ist eine Familie von UNIX-beeinflussten Betriebssystemen, die auf den Linux-Kernel und GNU-Tools basieren.

Beschreibung

Technische Details

Dies ist der Wurm, der Linux-Systeme infiziert. Der Wurm wurde im Frühjahr 1998 entdeckt. Er verbreitet sich von System zu System, indem er eine Linux-Sicherheitslücke (sog. "Buffer overrun" -Verstörung) nutzt, die es erlaubt, auf ein entferntes System hochzuladen und dort einen kurzen Code auszuführen, der dann heruntergeladen und aktiviert wird die Hauptwurmkomponente.

Der Wurm verwendet eine Sicherheitsverletzung in dem Programmpaket BIND (Berkeley Internet Name Domain), das in vielen gängigen UNIX-Paketen vertrieben wird und einen Namensdienst für das Internet bereitstellt.

Der Wurm selbst

Dies ist ein Mehrkomponenten-Wurm, der aus 8 Dateien besteht. Diese Dateien sind Skriptprogramme und ausführbare Dateien. Die Skriptprogramme sind ".sh" -Dateien, die von der Linux-Befehlsshell ausgeführt werden. Die ausführbaren Dateien sind Standard-Linux-ELF-Programme.

Die Hauptkomponenten des Wurms sind Skriptdateien ".sh", die als Hosts ausgeführt werden, und dann die Restdateien (zusätzliche ".sh" -Dateien und ausführbare ELF-Dateien) ausführen, um die erforderlichen Aktionen auszuführen.

Die Liste der Komponenten sieht folgendermaßen aus:

 ADMw0rm H-Name gimmeIP remotecmd gimRAND scanco Inkrementeller Test

Verbreitung

Die Verbreitung (Infizierung eines entfernten Linux-Rechners) erfolgt durch einen "Buffer Overrun" -Angriff. Dieser Angriff wird als spezielles Paket ausgeführt, das an eine angegriffene Maschine gesendet wird. Das Paket enthält einen Block speziell präparierter Daten. Der Datenblock des Pakets wird dann als Code auf diesem Rechner ausgeführt. Dieser Code öffnet eine Verbindung zur infizierten Maschine, ruft den Rest des Wurmcodes ab und aktiviert ihn. In diesem Moment ist die Maschine infiziert und beginnt, den Wurm weiter zu verbreiten.

Der Wurm wird von einer Maschine als ein "tgz" -Archiv (Standard-UNIX-Archiv) mit dem Namen "ADMw0rm.tgz" mit 8 Wurmkomponenten in die Maschine übertragen. Beim Infizieren einer neuen Maschine entpackt der Wurm das Paket dort und führt die Hauptdatei "ADMw0rm" aus, die dann die Komponenten des anderen Wurms aktiviert.

Einzelheiten

Um IP-Adressen von Remote-Rechnern zu erhalten, die sie angreifen, durchsucht der Wurm das verfügbare globale Netzwerk nach IP-Adressen mit Computern und DNS-Servern, die auf ihm installiert sind.

Um das entfernte System anzugreifen, benutzt der Wurm Sicherheitslücken in Linux: "named".

Zum Hochladen und Aktivieren seiner Kopie auf dem Remote-Computer enthält der Wurm "Pufferüberlauf" -Code die Anweisungen, die zu "Root" -Privilegien wechseln, die Befehlsshell ausführen und den Befehlen folgen:

• Läuft das Deamon "/ usr / sbin / named"
• erstellt das Verzeichnis zum Herunterladen der Wurmdatei "tgz", der Verzeichnisname lautet "/tmp/.w0rm0r"
• Läuft "ftp" (standart Linux-Programm), das die Wurmdatei "tgz" von der Hostmaschine herunterlädt (Maschine, von der der Wurm verbreitet wird)
• entpackt alle Wurm-Komponenten aus dem Archiv "tgz"
• Führt die Wurmstartkomponente aus: die Datei "ADMw0rm"

Verschiedenes

Der Wurm hat mehrere Nutzlast- und andere Nicht-Infektionsroutinen.

Zuerst findet es auf der lokalen Maschine beginnend vom Wurzelverzeichnis alle "index.html" -Dateien (Web-Server startet Seiten) und ersetzt sie durch seine eigene "index.html" -Datei, die den Text enthält:

Der ADM Inet w0rm ist da!

Der Wurm löscht die Datei "/etc/hosts.deny". Diese Datei enthält die Liste der Hosts (Adressen und / oder Inet-Namen), denen der Zugriff auf dieses System verweigert wird (falls ein so genannter TCP-Wrapper verwendet wird). Als Ergebnis können eingeschränkte Maschinen auf das betroffene System zugreifen.

Wenn ein neues System infiziert wird, sendet der Wurm Benachrichtigungen an die E-Mail-Adresse "admsmb@hotmail.com".

Mehr erfahren

Informieren Sie sich über die Statistiken der in Ihrer Region verbreiteten Sicherheitslücken statistics.securelist.com