ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Net-Worm.Linux.Adm

Clase Net-Worm
Plataforma Linux
Descripción

Detalles técnicos

Este es el gusano que infecta los sistemas Linux. El gusano fue descubierto en la primavera de 1998. Se propaga de sistema en sistema al usar una brecha de seguridad de Linux (llamada violación de "desbordamiento de búfer") que permite cargar al sistema remoto y ejecutar allí una pequeña porción de código que luego descarga y activa el componente principal del gusano

El gusano utiliza una brecha de seguridad en el paquete del programa BIND (Berkeley Internet Name Domain), que se distribuye en muchos paquetes populares de UNIX y proporciona un servicio de nombres para Internet.

El gusano en sí

Este es un gusano multicomponente que consta de 8 archivos. Estos archivos son programas de script y archivos ejecutables. Los programas de script son archivos ".sh" ejecutados por el shell de comandos de Linux. Los archivos ejecutables son ejecutables ELF de Linux estándar.

Los componentes principales del gusano son archivos de script ".sh" que se ejecutan como hosts y luego ejecutan los archivos de descanso (archivos ".sh" adicionales y ejecutables ELF) para realizar las acciones necesarias.

La lista de componentes se ve de la siguiente manera:




 ADMw0rm Hnamed



 gimmeIP remotecmd



 gimmeRAND scanco



 prueba incremental



Extensión

La propagación (que infecta una máquina Linux remota) se realiza mediante un ataque de "desbordamiento de búfer". Ese ataque se realiza como un paquete especial que se envía a una máquina atacada. El paquete tiene un bloque de datos especialmente preparados. Ese bloque de datos del paquete se ejecuta luego como un código en esa máquina. Ese código abre una conexión a la máquina infectada, obtiene el resto del código del gusano y lo activa. En ese momento, la máquina está infectada y comienza a propagar el gusano aún más.

El gusano se transfiere de una máquina a la máquina como un archivo "tgz" (archivo UNIX estándar) con el nombre "ADMw0rm.tgz", con 8 componentes de gusano dentro. Al infectar una máquina nueva, el gusano descomprime ese paquete y ejecuta el archivo principal "ADMw0rm" que luego activará los componentes de otro gusano.

Detalles

Para obtener direcciones IP de máquinas remotas que los ataquen, el gusano escanea la red global disponible para direcciones IP con computadoras y servidores DNS instalados en ella.

Para atacar el sistema remoto, el gusano usa vulnerabilidades de seguridad en Linux demon: "named".

Para cargar y activar su copia en una máquina remota, el código "desbordamiento del búfer" del gusano contiene las instrucciones que cambian a privilegios "raíz", ejecuta el shell del comando y sigue los comandos:

  • ejecuta el deamon "/ usr / sbin / named"
  • crea el directorio para descargar el archivo "tgz" del gusano, el nombre del directorio es "/tmp/.w0rm0r"
  • ejecuta "ftp" (programa standart para Linux) que descarga el archivo "tgz" del gusano desde la máquina host (máquina desde donde se propaga el gusano)
  • descomprime todos los componentes del gusano del archivo "tgz"
  • ejecuta el componente de inicio del gusano: el archivo "ADMw0rm"

Misc.

El gusano tiene varias cargas útiles y otras rutinas sin infección.

En primer lugar, encuentra en la máquina local desde el directorio raíz todos los archivos "index.html" (los servidores web inician páginas) y los reemplaza con su propio archivo "index.html" que contiene el texto:

El ADM Inet w0rm está aquí!

El gusano borra el archivo "/etc/hosts.deny". Ese archivo contiene la lista de hosts (direcciones y / o nombres de Inet) a los que se les niega el acceso a este sistema (en caso de que se utilice el llamado TCP wrapper). Como resultado, cualquiera de las máquinas restringidas puede acceder al sistema afectado.

Cuando se infecta un nuevo sistema, el gusano envía mensajes de "notificación" a la dirección de correo electrónico "admsmb@hotmail.com".


Enlace al original