Virus.Linux.Osf

Linux.OSF.8759 es un virus con capacidades mejoradas de puerta trasera que se replica en sistemas Linux e infecta ejecutables ELF.

Los archivos infectados por el virus tienen su tamaño de archivo aumentado en 8759 bytes. 3979 bytes pertenecen al código del virus real, mientras que los otros 4662 pertenecen al código de una puerta trasera asociada al virus al final del archivo.

Aunque el código de puerta trasera se copia junto con el virus, parece que parece diseñado de tal manera que se puede reemplazar fácilmente con versiones actualizadas: la puerta trasera no está vinculada a la estructura ELF, sino que el virus la carga y ejecuta. Por lo tanto, se pueden esperar versiones mejoradas de este virus, especialmente del código de puerta trasera en el futuro.

El virus infecta todos los archivos en el directorio actual, pero evita infectar archivos con nombres de archivo que terminan con "ps".

Para aclarar: los archivos con nombres como "pasos", o incluso la popular herramienta de utilidad de Unix "PS" se salvarán de la infección, ya que las dos últimas letras de sus nombres de archivo son "P" y "S" en secuencia – "ps" .

Si se ejecuta desde una cuenta raíz, el virus también intentará infectar los archivos desde el directorio del sistema "/ bin". En todos los casos, no más de 201 archivos están infectados en una ejecución.

La puerta trasera encontrada en esta versión del virus está escuchando en el puerto UDP 3049, o si el puerto respectivo no está disponible, intentará aumentar el número de puerto hasta que se encuentre uno que pueda usarse. Varios comandos internos están disponibles para ejecutar directamente archivos en el sistema de destino o para lanzar un sniffer y reenviar el tráfico a la otra máquina. La puerta trasera también intentará editar la lista de reglas del firewall y borrar cualquier entrada que pueda evitar que se comunique en el puerto enganchado, o en el puerto utilizado para comunicarse con la máquina remota en el caso del sniffer.

Además de lo anterior, el virus también intenta evitar el rastreo por varias utilidades de depuración generando una copia de sí mismo e intentando depurarse de la copia generada. Si ya se está ejecutando algún depurador, estos pasos fallarán y el virus terminará inmediatamente la ejecución.

Otro detalle es si el tiempo de actividad del sistema es de 5 minutos o menos, el virus también terminará la ejecución, probablemente para evitar una simple inspección en máquinas "de prueba".