Net-Worm.Linux.cheese

Technical Details

Этот текст был написан Костин Раю (Costin Raiu) Румыния, “Лаборатория Касперского”

Интернет-червь “Cheese” заражает компьютеры которые были взломаны другим Linux-червем “Ramen”. Он действует как “заплатка дыр”, которая удаляет открытые для внешнего доступа компьютеры, которые были взломаны, но для которых не была устранена брешь в системе безопасности. Таким образом компьютеры все еще остаются уязвимыми для внешних атак. Червь содержит строки текста:

> # removes rootshells running from /etc/inetd.conf
> # after a l10n infection… (to stop pesky haqz0rs
> # messing up your box even worse than it is already)
> # This code was not written with malicious intent.
> # Infact, it was written to try and do some good.

Неважно, какие хорошие намерения были у его авторов, но червь “Cheese” способен размножаться как вредная программа, которая “съедает” системные ресурсы.

Технические детали

Червь состоит из трех файлов: “cheese”, “go” и “psm”. Файл “go” является стартером для червя и запускает основную часть, которая хранится в файле “cheese”.

Файл “cheese” представляет из себя скрипт-программу на языке Perl размером 2 килобайта. Это основное тело червя, которое отвечает за его размножение. После запуска он сканирует файл настроек “/etc/inetd.conf” на
наличие сервисов, которые запускают “/bin/sh” (обычно используется программами “backdoor”) и удаляет эту строку из него.

В случае если командный процессор пользователя root хранит настройки в файле “/etc/xinetd.conf”, то червь не сможет внести исправления и оставит его без изменения. Он генерирует 2 случайных числа в диапазоне от 0 до 255 для
первых двух цифр IP-адреса. Этот адрес будет использоваться внешней Linux-программой (ELF-файл) для сканирования IP-адресов для систем с активным портом 10008. Обычно такие системы ранее были взломаны червем “Ramen”. На этих системах запущен и открыт командный процессор пользователя root для соответствующего порта.

В случае обнаружения такой системы червь выполняет
небольшой инсталляционный скрипт на удаленном компьютере. Этот скрипт создает каталог “/tmp/.cheese” и при помощи популярной программы Lynx загружает свою копию на удаленный компьютер (файл “cheese.uue”).

Червь также настраивает специальную подпрограмму, которая отвечает на запросы в исходной системе и отдает свою заархивированную копию при запросе с удаленного компьютера. Инсталляционный скрипт запускает на удаленном
компьютере распаковку тела червя в каталог “/tmp/.cheese”. После чего запускается вирусный загрузчик скрипт-файл “go”. Этот загрузчик запускает основный файл и размножение червя продолжается.