Clase de padre: VirWare
Los virus y gusanos son programas maliciosos que se auto replican en computadoras o redes de computadoras sin que el usuario lo sepa; cada copia subsiguiente de dichos programas maliciosos también puede auto-replicarse. Los programas maliciosos que se propagan a través de redes o infectan máquinas remotas cuando el "propietario" les ordena hacerlo (p. Ej., Puertas traseras) o programas que crean copias múltiples que no pueden autorreplicarse no forman parte de la subclase Virus y gusanos. La principal característica utilizada para determinar si un programa está clasificado como un comportamiento separado dentro de la subclase Viruses and Worms es cómo se propaga el programa (es decir, cómo el programa malicioso distribuye copias de sí mismo a través de recursos locales o de red). como archivos enviados como archivos adjuntos de correo electrónico, a través de un enlace a un recurso web o FTP, a través de un enlace enviado en un mensaje ICQ o IRC, a través de redes de intercambio de archivos P2P, etc. Algunos gusanos se propagan como paquetes de red; estos penetran directamente en la memoria de la computadora y el código del gusano se activa. Los gusanos usan las siguientes técnicas para penetrar computadoras remotas y lanzar copias de sí mismos: ingeniería social (por ejemplo, un mensaje de correo electrónico que sugiere que el usuario abre un archivo adjunto), explotando errores de configuración de red (como copiar a un disco totalmente accesible) y explotando lagunas en el sistema operativo y la seguridad de las aplicaciones. Los virus se pueden dividir de acuerdo con el método utilizado para infectar una computadora: virus de archivos virus de sector de arranque virus de macros virus de script Cualquier programa dentro de esta subclase puede tener funciones de troyano adicionales. También se debe tener en cuenta que muchos gusanos usan más de un método para distribuir copias a través de redes. Las reglas para clasificar objetos detectados con funciones múltiples se deben usar para clasificar estos tipos de gusanos.Clase: Net-Worm
Net-Worms se propagan a través de redes informáticas. La característica distintiva de este tipo de gusano es que no requiere acción del usuario para propagarse. Este tipo de gusano generalmente busca vulnerabilidades críticas en el software que se ejecuta en las computadoras en red. Para infectar las computadoras en la red, el gusano envía un paquete de red especialmente diseñado (llamado exploit) y como resultado el código del gusano (o parte del código del gusano) penetra en la computadora de la víctima y se activa. A veces, el paquete de red solo contiene la parte del código del gusano que descargará y ejecutará un archivo que contiene el módulo principal del gusano. Algunos gusanos de red usan varios exploits simultáneamente para propagarse, lo que aumenta la velocidad a la que encuentran víctimas.Más información
Plataforma: Linux
Linux es una familia de sistemas operativos con influencia UNIX basada en el kernel de Linux y las herramientas de GNU.Descripción
Detalles técnicos
Este es el gusano que infecta los sistemas Linux. El gusano fue descubierto en la primavera de 1998. Se propaga de sistema en sistema al usar una brecha de seguridad de Linux (llamada violación de "desbordamiento de búfer") que permite cargar al sistema remoto y ejecutar allí una pequeña porción de código que luego descarga y activa el componente principal del gusano
El gusano utiliza una brecha de seguridad en el paquete del programa BIND (Berkeley Internet Name Domain), que se distribuye en muchos paquetes populares de UNIX y proporciona un servicio de nombres para Internet.
El gusano en sí
Este es un gusano multicomponente que consta de 8 archivos. Estos archivos son programas de script y archivos ejecutables. Los programas de script son archivos ".sh" ejecutados por el shell de comandos de Linux. Los archivos ejecutables son ejecutables ELF de Linux estándar.
Los componentes principales del gusano son archivos de script ".sh" que se ejecutan como hosts y luego ejecutan los archivos de descanso (archivos ".sh" adicionales y ejecutables ELF) para realizar las acciones necesarias.
La lista de componentes se ve de la siguiente manera:
ADMw0rm Hnamed gimmeIP remotecmd gimmeRAND scanco prueba incremental
Extensión
La propagación (que infecta una máquina Linux remota) se realiza mediante un ataque de "desbordamiento de búfer". Ese ataque se realiza como un paquete especial que se envía a una máquina atacada. El paquete tiene un bloque de datos especialmente preparados. Ese bloque de datos del paquete se ejecuta luego como un código en esa máquina. Ese código abre una conexión a la máquina infectada, obtiene el resto del código del gusano y lo activa. En ese momento, la máquina está infectada y comienza a propagar el gusano aún más.
El gusano se transfiere de una máquina a la máquina como un archivo "tgz" (archivo UNIX estándar) con el nombre "ADMw0rm.tgz", con 8 componentes de gusano dentro. Al infectar una máquina nueva, el gusano descomprime ese paquete y ejecuta el archivo principal "ADMw0rm" que luego activará los componentes de otro gusano.
Detalles
Para obtener direcciones IP de máquinas remotas que los ataquen, el gusano escanea la red global disponible para direcciones IP con computadoras y servidores DNS instalados en ella.
Para atacar el sistema remoto, el gusano usa vulnerabilidades de seguridad en Linux demon: "named".
Para cargar y activar su copia en una máquina remota, el código "desbordamiento del búfer" del gusano contiene las instrucciones que cambian a privilegios "raíz", ejecuta el shell del comando y sigue los comandos:
- ejecuta el deamon "/ usr / sbin / named"
- crea el directorio para descargar el archivo "tgz" del gusano, el nombre del directorio es "/tmp/.w0rm0r"
- ejecuta "ftp" (programa standart para Linux) que descarga el archivo "tgz" del gusano desde la máquina host (máquina desde donde se propaga el gusano)
- descomprime todos los componentes del gusano del archivo "tgz"
- ejecuta el componente de inicio del gusano: el archivo "ADMw0rm"
Misc.
El gusano tiene varias cargas útiles y otras rutinas sin infección.
En primer lugar, encuentra en la máquina local desde el directorio raíz todos los archivos "index.html" (los servidores web inician páginas) y los reemplaza con su propio archivo "index.html" que contiene el texto:
El ADM Inet w0rm está aquí!
El gusano borra el archivo "/etc/hosts.deny". Ese archivo contiene la lista de hosts (direcciones y / o nombres de Inet) a los que se les niega el acceso a este sistema (en caso de que se utilice el llamado TCP wrapper). Como resultado, cualquiera de las máquinas restringidas puede acceder al sistema afectado.
Cuando se infecta un nuevo sistema, el gusano envía mensajes de "notificación" a la dirección de correo electrónico "admsmb@hotmail.com".
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com