CE SERVICE PEUT CONTENIR DES TRADUCTIONS GÉNÉRÉES PAR GOOGLE. GOOGLE DÉCLINE TOUTE GARANTIE, EXPLICITE OU IMPLICITE, Y COMPRIS LES GARANTIES D'EXACTITUDE, DE FIABILITÉ, AINSI QUE TOUTE GARANTIE IMPLICITE DE COMMERCIALISATION ET D'ADAPTATION À DES FINS PARTICULIÈRES ET À L'ABSENCE DE CONTREFAÇONS.

Le site internet de Kaspersky Lab a été traduit pour votre commodité en utilisant un logiciel de traduction générée par Google. Des efforts raisonnables ont été faits pour fournir une traduction exacte. Cependant, aucune traduction automatique n'est parfaite et l'objectif n'est pas de remplacer le travail des traducteurs. Le site internet de Kaspersky Lab fournit ces traductions comme un service pour ses utilisateurs, et elles ont été publiées "telles quelles". Aucune garantie, explicite ou implicite, n'est faite au sujet de l'exactitude, de fiabilité ou de conformité de ces traductions faites de l'anglais vers une autre langue. Certains contenus (images, vidéos, Flash, etc.) peuvent ne pas être traduits correctement à cause des limites du logiciel de traduction.

Net-Worm.Linux.Ramen

Classe Net-Worm
Plateforme Linux
Description

Détails techniques

C'est le premier ver connu qui infecte les systèmes RedHat Linux. Le ver a été découvert à la mi-janvier 2001. Le ver se propage d'un système à l'autre en utilisant une faille de sécurité RedHat (une violation dite de "buffer overrun") qui permet de télécharger vers un système distant et de lancer un court code là qui alors télécharge et active le composant principal de ver.

Le ver n'a pas été testé dans VirusLab, donc toutes les informations ci-dessous doivent être lues comme "le ver pourrait faire, si cela fonctionne vraiment." Nous n'avons également aucun rapport confirmé sur les serveurs infectés de nos clients.

Le ver utilise trois failles de sécurité dans RedHat versions 6.2 et 7.0, ces violations ont été découvertes en été-automne 2000, au moins trois mois avant la découverte du ver.

Le ver contient également des routines qui ont l'intention d'attaquer les machines FreeBSD et SuSE, mais ces routines ne sont ni activées, ni utilisées dans le code du ver.

Le ver lui-même

C'est un ver multi-composant qui se compose de 26 fichiers d'environ 300K de longueur totale. Ces fichiers sont des programmes de script et des fichiers exécutables. Les programmes de script sont des fichiers ".sh" qui sont exécutés par un shell de commande Linux (comme les fichiers DOS BAT et les fichiers CMD Windows). Les fichiers exécutables sont des exécutables Linux ELF standard.

Les principaux composants du ver sont les fichiers de script ".sh" qui sont exécutés en tant qu'hôtes, puis exécutez le reste des fichiers (fichiers ".sh" supplémentaires et exécutables ELF) pour effectuer les actions nécessaires.

La liste des composants apparaît comme suit:


 asp hackl.sh randb62 start62.sh wh.sh
 asp62 hackw.sh randb7 début7.sh wu62
 asp7 index.html s62 synscan62
 bd62.sh l62 s7 synscan7
 bd7.sh l7 scan.sh w62
 getip.sh lh.sh start.sh w7
 

Les composants "62" sont activés sous les systèmes RedHat 6.2, les composants "7" sont activés sous RedHat 7.0. Le fichier "wu62" n'est pas utilisé du tout.

Diffusion

L'épandage (infection d'une machine Linux distante) est effectué par une attaque "buffer overrun". Cette attaque est effectuée sous la forme d'un paquet spécial envoyé à une machine attaquée. Le paquet contient un bloc de données spécialement préparées. Ce bloc de données de paquets est ensuite exécuté comme un code sur cette machine. Ce code ouvre une connexion à une machine infectée, obtient le reste du code du ver et l'active. À ce moment, la machine est infectée et commence à propager le ver plus loin.

Le ver est transféré de machine à machine en tant qu'archive "tgz" (archive UNIX standard) avec un nom "ramen.tgz", avec 26 composants de ver à l'intérieur. Lors de l'infection d'une nouvelle machine, le ver décompresse le paquet et lance le fichier principal "start.sh" qui active ensuite les autres composants du ver.

Les composants du ver analysent alors le réseau global pour d'autres machines Linux et téléchargent le ver là-bas si l'attaque "buffer overrun" est effectuée avec succès.

Le ver ajoute également une commande pour exécuter son fichier ".sh" de départ dans un fichier "/etc/rc.d/rc.sysinit", et par conséquent, les composants du ver sont activés à chaque démarrage du système suivi.

Le ver ferme également les failles de sécurité qui ont été utilisées pour infecter le système. Ainsi, une machine infectée ne peut pas être attaquée par le ver deux fois.

Détails

Pour obtenir des adresses IP de machines distantes afin de les attaquer, le ver analyse le réseau global disponible pour les adresses IP; c'est-à-dire, fonctionne de manière similaire aux utilitaires "sniffer" standard.

Pour attaquer un système distant, le ver utilise des vulnérabilités de sécurité dans trois démons RedHat Linux: "statd", "lpd" et "wu-ftp".

Pour télécharger et activer sa copie sur une machine distante, le code "overround buffer" du ver contient des instructions qui basculent vers les privilèges "root", exécute un shell de commande et suit les commandes suivantes:

  • crée un répertoire pour télécharger le fichier "tgz" du ver, le nom du répertoire est "/usr/src/.poop"
  • exporte une variable "TERM = vt100" nécessaire pour l'étape suivante
  • exécute "lynx" (simplement un navigateur WWW) qui télécharge un fichier "tgz" de vers à partir d'une machine hôte (la machine à partir de laquelle le ver se propage)
  • décompresse tous les composants de ver d'une archive "tgz"
  • exécute le composant de démarrage du ver: le fichier "start.sh"

Pour envoyer une archive "ramen.tgz", le ver exécute un serveur supplémentaire "asp" qui envoie l'archive "tgz" du ver à la demande d'un composant "buffer overrun" du ver.

Divers

Le ver a plusieurs charges utiles et d'autres routines non-infectieuses.

Tout d'abord, il trouve tous les fichiers "index.html" (pages de démarrage d'un serveur Web) sur une machine locale en commençant par le répertoire racine et les remplace par son propre fichier "index.html" qui contient le texte suivant:

RameN Crew Hackers looooooooooooooooove nouilles. <Sup> TM </ sup>

Le ver supprime le fichier "/etc/hosts.deny". Ce fichier contient une liste d'hôtes (adresses et / ou noms Internet) auxquels l'accès à ce système est refusé (au cas où un wrapper TCP est utilisé). Par conséquent, toutes les machines restreintes peuvent accéder à un système affecté.

Lorsqu'un nouveau système est infecté, le ver envoie des messages de "notification" à trois adresses e-mail:

  1. l'adresse de seulement la machine infectée
  2. gb31337@hotmail.com
  3. gb31337@yahoo.com

Le message Subject est l'adresse IP de la machine infectée, le corps du message contient le texte:

Mangez votre Ramen!


Lien vers l'original