DIESER SERVICE KANN ÜBERSETZUNGEN VON GOOGLE ENTHALTEN. GOOGLE ÜBERNIMMT KEINERLEI VERANTWORTUNG FÜR DIE ÜBERSETZUNGEN. DARUNTER FÄLLT JEGLICHE VERANTWORTUNG IN BEZUG AUF RICHTIGKEIT UND ZUVERLÄSSIGKEIT SOWIE JEGLICHE STILLSCHWEIGENDEN GEWÄHRLEISTUNGEN DER MARKTGÄNGIGKEIT, NICHT-VERLETZUNG VON RECHTEN DRITTER ODER DER EIGNUNG FÜR EINEN BESTIMMTEN ZWECK.

Die Website von Kaspersky Lab wurde für Ihre Bequemlichkeit mithilfe einer Übersetzungssoftware von Google Translate übersetzt. Es wurden angemessene Bemühungen für die Bereitstellung einer akkuraten Übersetzung unternommen. Bitte beachten Sie, dass automatisierte Übersetzungen nicht perfekt sind und menschliche Übersetzer in keinem Fall ersetzen sollen. Übersetzungen werden den Nutzern der Kaspersky-Lab-Website als Service und "wie sie sind" zur Verfügung gestellt. Die Richtigkeit, Zuverlässigkeit oder Korrektheit jeglicher Übersetzungen aus dem Englischen in eine andere Sprache wird weder ausdrücklich noch stillschweigend garantiert. Einige Inhalte (z. B. Bilder, Videos, Flash, usw.) können aufgrund der Einschränkungen der Übersetzungssoftware möglicherweise nicht inhaltsgetreu übersetzt werden.

Net-Worm.Linux.Ramen

Kategorie Net-Worm
Plattform Linux
Beschreibung

Technische Details

Dies ist der erste bekannte Wurm, der RedHat Linux-Systeme infiziert. Der Wurm wurde Mitte Januar 2001 entdeckt. Der Wurm verbreitet sich von System zu System, indem er eine RedHat-Sicherheitslücke (einen sogenannten "Buffer Overrun" -Bruch) nutzt, der es ermöglicht, auf ein Remote-System hochzuladen und ein kurzes Stück davon auszuführen Code dort, der dann die Hauptwurmkomponente herunterlädt und aktiviert.

Der Wurm wurde nicht in VirusLab getestet, daher sollten alle Informationen wie folgt gelesen werden: "Der Wurm könnte funktionieren, wenn er wirklich funktioniert." Wir haben auch keine bestätigten Berichte über infizierte Server von unseren Kunden.

Der Wurm verwendet drei Sicherheitslücken in den RedHat-Versionen 6.2 und 7.0, diese Lücken wurden im Sommer-Herbst 2000 entdeckt, mindestens drei Monate bevor der Wurm entdeckt wurde.

Der Wurm enthält auch Routinen, die FreeBSD- und SuSE-Maschinen angreifen sollen, aber diese Routinen werden weder aktiviert noch in Wurm-Code verwendet.

Der Wurm selbst

Dies ist ein Wurm mit mehreren Komponenten, der aus 26 Dateien mit einer Gesamtlänge von 300 K besteht. Diese Dateien sind Skriptprogramme und ausführbare Dateien. Die Skriptprogramme sind ".sh" -Dateien, die von einer Linux-Befehlsshell ausgeführt werden (wie DOS BAT-Dateien und Windows CMD-Dateien). Die ausführbaren Dateien sind Standard-Linux-ELF-Programme.

Die Hauptkomponenten des Wurms sind Skriptdateien ".sh", die als Hosts ausgeführt werden, und dann den Rest der Dateien (zusätzliche ".sh" -Dateien und ausführbare ELF-Dateien) ausführen, um die erforderlichen Aktionen auszuführen.

Die Liste der Komponenten sieht wie folgt aus:


 asp hackl.sh randb62 start62.sh wh.sh
 asp62 hackw.sh randb7 start7.sh wu62
 asp7 index.html s62 synscan62
 bd62.sh l62 s7 synscan7
 bd7.sh l7 scan.sh w62
 getip.sh lh.sh.start.sh w7
 

Die "62" -Komponenten werden unter RedHat 6.2-Systemen aktiviert, die "7" -Komponenten werden unter RedHat 7.0 aktiviert. Die Datei "wu62" wird überhaupt nicht verwendet.

Verbreitung

Das Verbreiten (Infizieren einer entfernten Linux-Maschine) wird durch einen "Buffer Overrun" -Angriff durchgeführt. Dieser Angriff wird als spezielles Paket ausgeführt, das an eine angegriffene Maschine gesendet wird. Das Paket enthält einen Block speziell präparierter Daten. Dieser Block von Paketdaten wird dann als ein Code auf dieser Maschine ausgeführt. Dieser Code öffnet eine Verbindung zu einem infizierten Computer, ruft den restlichen Code des Wurms ab und aktiviert ihn. In diesem Moment ist die Maschine infiziert und beginnt den Wurm weiter zu verbreiten.

Der Wurm wird von Maschine zu Maschine als "tgz" -Archiv (Standard-UNIX-Archiv) mit dem Namen "ramen.tgz" mit 26 Wurmkomponenten übertragen. Beim Infizieren einer neuen Maschine entpackt der Wurm das Paket dort und führt die Hauptdatei "start.sh" aus, die dann andere Wurmkomponenten aktiviert.

Die Wurmkomponenten durchsuchen dann das globale Netzwerk nach anderen Linux-Maschinen und laden den Wurm dort hoch, wenn der Angriff "Pufferüberlauf" erfolgreich ausgeführt wird.

Der Wurm hängt auch einen Befehl an, um seine startende ".sh" -Datei in eine "/etc/rc.d/rc.sysinit" -Datei auszuführen, und als Ergebnis werden die Komponenten des Wurms bei jedem folgenden Systemstart aktiviert.

Der Wurm schließt auch Sicherheitslücken, die zur Infektion des Systems verwendet wurden. Eine infizierte Maschine kann also nicht zweimal vom Wurm angegriffen werden.

Einzelheiten

Um die IP-Adressen entfernter Maschinen zu erhalten, um sie anzugreifen, durchsucht der Wurm das verfügbare globale Netzwerk nach IP-Adressen. dh, funktioniert ähnlich wie Standard "Sniffer" Dienstprogramme.

Um ein entferntes System anzugreifen, verwendet der Wurm Sicherheitslücken in drei RedHat Linux-Dämonen: "statd", "lpd" und "wu-ftp".

Zum Hochladen und Aktivieren seiner Kopie auf einem Remotecomputer enthält der Wurmcode "Buffer Overrun" Anweisungen, die zu "Root" -Rechten wechseln, eine Befehlsshell ausführen und die folgenden Befehle befolgen:

  • erstellt ein Verzeichnis zum Herunterladen der Wurmdatei "tgz", der Verzeichnisname lautet "/usr/src/.poop"
  • Exportiert eine Variable "TERM = vt100", die für den nächsten Schritt erforderlich ist
  • startet "lynx" (einfach WWW-Browser), der eine Wurm- "tgz" -Datei von einem Host-Rechner herunterlädt (dem Rechner, von dem der Wurm verbreitet wird)
  • entpackt alle Wurm-Komponenten aus einem "tgz" -Archiv
  • Führt die Wurmstartkomponente aus: die Datei "start.sh"

Um ein "ramen.tgz" -Archiv zu senden, führt der Wurm einen zusätzlichen Server "asp" aus, der das "tgz" -Archiv des Wurms auf Anfrage von einer Wurm- "buffer overrun" -Komponente sendet.

Verschiedenes

Der Wurm hat mehrere Nutzlast- und andere nicht infektiöse Routinen.

Zuerst findet es alle "index.html" -Dateien (die Startseiten eines Webservers) auf einer lokalen Maschine beginnend mit dem Stammverzeichnis und ersetzt sie durch seine eigene "index.html" -Datei, die den folgenden Text enthält:

RameN Crew Hackers loooooooooooooooooove Nudeln. <Sup> TM </ sup>

Der Wurm löscht die Datei "/etc/hosts.deny". Diese Datei enthält eine Liste von Hosts (Adressen und / oder Internetnamen), denen der Zugriff auf dieses System verweigert wird (falls ein sogenannter TCP-Wrapper verwendet wird). Als Ergebnis kann jede der eingeschränkten Maschinen auf ein betroffenes System zugreifen.

Wenn ein neues System infiziert wird, sendet der Wurm Benachrichtigungen an drei E-Mail-Adressen:

  1. die Adresse nur der infizierten Maschine
  2. gb31337@hotmail.com
  3. gb31337@yahoo.com

Die Nachricht Betreff ist die IP-Adresse des infizierten Rechners, der Nachrichtentext enthält den folgenden Text:

Essen Sie Ihre Ramen!


Link zum Original