Net-Worm.Linux.Adm

Родительский класс: VirWare

Вирусы и черви – это вредоносные программы, которые без ведома пользователя саморазмножаются на компьютерах или в компьютерных сетях, при этом каждая последующая копия также обладает способностью к саморазмножению. К вирусам и червям не относятся вредоносные программы, которые распространяют свои копии по сети и заражают удаленные машины по команде "хозяина" (например, программы типа Backdoor), или такие, которые создают в системе свои многочисленные, но не умеющие размножаться копии. Основным признаком, по которому программы выделяются в отдельные классы, является способ их распространения, т.е. как вредоносная программа передает свою копию по локальным или сетевым ресурсам. Большинство известных червей распространяется в виде файлов: во вложении в электронное письмо, при переходе по ссылке на каком-либо WEB- или FTP-ресурсе или по ссылке, присланной в ICQ- или IRC-сообщении, а также через системы файлового обмена P2P и т. п. Некоторые черви распространяются в виде сетевых пакетов, проникают непосредственно в память компьютера и активизируют свой код. Для проникновения на удаленные компьютеры и последующего запуска своей копии черви используют следующие проблемы в системах безопасности: социальный инжиниринг (например, в электронном письме предлагается открыть вложенный файл), недочеты в конфигурации сети (например, копирование на диск, открытый для полного доступа), ошибки в службах безопасности операционных систем и приложений. Что касается вирусов, то их можно разделить по способу заражения компьютера:

• файловые;
• загрузочные;
• макровирусы;
• скриптовые.

Любой представитель данной категории может дополнительно содержать троянский функционал. Также следует отметить, что многие компьютерные черви используют более одного способа распространения своей копии по сетям.

Класс: Net-Worm

Размножаются в компьютерных сетях. Отличительной особенностью данного типа червей является то, что им не нужен пользователь в качестве звена в цепочке распространения (непосредственно для активации). Часто такой червь ищет в сети компьютеры, на которых используется программное обеспечение, содержащее критические уязвимости. Для заражения таких компьютеров червь посылает специально сформированный сетевой пакет (эксплойт), в результате чего код (или часть кода) червя проникает на компьютер-жертву и активируется. Иногда сетевой пакет содержит только ту часть кода червя, которая загружает файл с основным функционалом и запускает его на исполнение. Встречаются и сетевые черви, которые используют сразу несколько эксплойтов для своего распространения, что увеличивает скорость нахождения жертвы.

Подробнее

Платформа: Linux

Linux – семейство операционных систем, которые образовались под влиянием UNIX на базе ядра Linux и пользовательского окружения GNU.

Описание

Technical Details

Интернет-червь, заражающий Linux системы. Червь был обнаружен весной 1998 года. Распространяет свои копии (заражает удаленные Linux-системы) при помощи "дыры" в системе защиты Linux (так называемая дыра "переполнение буфера"). Эта дыра позволяет засылать исполняемый код на удаленный компьютер и выполнять его там без ведома администратора (пользователя). Используя эту дыру, червь засылает на удаленные компьютеры короткий кусок своего кода, выполняет его там, докачивает свой основной код и стартует его.

Червь использует дыру в пакете программ BIND (Berkeley Internet Name Domain), который поставляется во многих версиях UNIX и обеспечивает службу имен для сети интернет. Эта дыра была обнаружена и закрыта в 1998-ом году.

Компоненты червя

Червь состоит из 8 компонент. 3 из этих файлов являются скрипт-программами на командном языке UNIX (".sh"-файлы), еще 5 файлов являются выполняемыми файлами Linux (ELF-файлы).

Основными управляющими компонентами являются скрипт-файлы. Они при необходимости вызывают прочие скрипт-компоненты или выполняют ELF-программы червя.

Список компонент выгладит следующим образом:

 ADMw0rm            Hnamed
 gimmeIP            remotecmd
 gimmeRAND          scanco
 incremental        test

Распространение

При старте основной компоненты червя (файл "ADMw0rm") поочередно вызываются прочие компоненты, которые определяют адреса атакуемых систем, посредством атаки "переполнение буфера" засылают туда "загрузчик червя", который затем докачивает и запускает основной код червя. Червь активизируется и затем распространяется с только что зараженного компьютера далее на другие системы.

Червь передается с машины на машину в виде архива "tgz" (стандартный архив, применяемый в Linux системах) с именем "ADMw0rm.tgz". При заражении машины архив передается на нее, распаковывается запускается главный файл червя "ADMw0rm".

Подробнее

Для того, чтобы получить IP-адреса прочих машин для их последующих атак червь сканирует ресурсы глобальной сети в поисках машин, на которых стоит DNS сервер.

При атаках используется "дыра" в программе-демоне Linux: "named".

При засылке и запуске кода червя на удаленной машине червь использует "переполнение буфера" кодом, который получает системные привилегии и запускает командный процессор, который затем выполняет следующие команды:

• запускает демон "/usr/sbin/named"
• создает каталог "/tmp/.w0rm0r", куда потом будет скачан архив червя "ADMw0rm.tgz"
• при помощи команды "ftp" скачивает архив "ADMw0rm.tgz" с машины, с которой происходит заражение
• распаковывает из архива "ADMw0rm.tgz" все компоненты червя
• запускает основную компоненту: файл "ADMw0rm"

Прочее

Червь ищет на зараженной машине все файоы "index.html" (стартовые страницы Web-серверов) и заменяет их на собственную "index.html", содержащую текст:

The ADM Inet w0rm is here !

Уничтожает файл "/etc/hosts.deny". Этот файл содержит список адресов машин, которым запрещен доступ к данной системе (в случае использования TCP-враппера).

При заражении очередной системы отправляет письмо с IP-адресом зараженной машины на адрес электронной почты: "admsmb@hotmail.com"

Смотрите также

Узнай статистику распространения уязвимостей в своем регионе statistics.securelist.com