Net-Worm.Linux.cheese

Technical Details

Этот текст был написан Костин Раю (Costin Raiu) Румыния, «Лаборатория Касперского»

Интернет-червь «Cheese» заражает компьютеры которые были взломаны другим Linux-червем «Ramen». Он действует как «заплатка дыр», которая удаляет открытые для внешнего доступа компьютеры, которые были взломаны, но для которых не была устранена брешь в системе безопасности. Таким образом компьютеры все еще остаются уязвимыми для внешних атак. Червь содержит строки текста:

> # removes rootshells running from /etc/inetd.conf
> # after a l10n infection… (to stop pesky haqz0rs
> # messing up your box even worse than it is already)
> # This code was not written with malicious intent.
> # Infact, it was written to try and do some good.

Неважно, какие хорошие намерения были у его авторов, но червь «Cheese» способен размножаться как вредная программа, которая «съедает» системные ресурсы.

Технические детали

Червь состоит из трех файлов: «cheese», «go» и «psm». Файл «go» является стартером для червя и запускает основную часть, которая хранится в файле «cheese».

Файл «cheese» представляет из себя скрипт-программу на языке Perl размером 2 килобайта. Это основное тело червя, которое отвечает за его размножение. После запуска он сканирует файл настроек «/etc/inetd.conf» на
наличие сервисов, которые запускают «/bin/sh» (обычно используется программами «backdoor») и удаляет эту строку из него.

В случае если командный процессор пользователя root хранит настройки в файле «/etc/xinetd.conf», то червь не сможет внести исправления и оставит его без изменения. Он генерирует 2 случайных числа в диапазоне от 0 до 255 для
первых двух цифр IP-адреса. Этот адрес будет использоваться внешней Linux-программой (ELF-файл) для сканирования IP-адресов для систем с активным портом 10008. Обычно такие системы ранее были взломаны червем «Ramen». На этих системах запущен и открыт командный процессор пользователя root для соответствующего порта.

В случае обнаружения такой системы червь выполняет
небольшой инсталляционный скрипт на удаленном компьютере. Этот скрипт создает каталог «/tmp/.cheese» и при помощи популярной программы Lynx загружает свою копию на удаленный компьютер (файл «cheese.uue»).

Червь также настраивает специальную подпрограмму, которая отвечает на запросы в исходной системе и отдает свою заархивированную копию при запросе с удаленного компьютера. Инсталляционный скрипт запускает на удаленном
компьютере распаковку тела червя в каталог «/tmp/.cheese». После чего запускается вирусный загрузчик скрипт-файл «go». Этот загрузчик запускает основный файл и размножение червя продолжается.