Net-Worm.Linux.Adm

Teknik detaylar

Bu, Linux sistemlerine bulaşan solucudur. Solucan ilkbahar 1998'de keşfedildi. Bir Linux güvenlik ihlali (sözde "arabellek taşması" ihlali) kullanarak sistemden sisteme yayılıyor ve uzak sisteme yüklenmesine izin veriyor ve orada daha sonra indirip etkinleştiren kısa bir kod parçası çalıştırıyor. Ana solucan bileşeni.

Solucan, UNIX paketlerinin çoğunda dağıtılan ve internet için isim servisi sağlayan BIND (Berkeley Internet Name Domain) program paketinde bir güvenlik ihlali kullanmaktadır.

Kendini Solucan

Bu 8 dosyadan oluşan çok bileşenli bir solucudur. Bu dosyalar komut dosyası programları ve yürütülebilir dosyalardır. Komut dosyası programları, Linux komut kabuğu tarafından çalıştırılan ".sh" dosyalarıdır. Yürütülebilir dosyalar standart Linux ELF yürütülebilir dosyalarıdır.

Solucanın ana bileşenleri, ana bilgisayar olarak çalıştırılan komut dosyası ".sh" dosyalarıdır ve sonra gerekli eylemleri gerçekleştirmek için geri kalan dosyaları (ek ".sh" dosyaları ve ELF yürütülebilir dosyaları) çalıştırır.

Bileşenlerin listesi aşağıdaki gibi görünür:

 ADMw0rm Adlandırıldı



 gimmeIP remotecmd



 gimmeRAND scanco



 artımlı test

Yayma

Yayılma (bir uzak Linux makinesini enfekte ederek) "tampon taşması" saldırısı ile yapılır. Bu saldırı, saldırıya uğrayan bir makineye gönderilen özel bir paket olarak gerçekleştirilir. Paketin özel hazırlanmış bir veri bloğu vardır. Paketin veri bloğu daha sonra bu makinede bir kod olarak yürütülür. Bu kod, virüs bulaşmış makineye bir bağlantı açar, solucan kodunun kalanını alır ve etkinleştirir. O anda makine enfekte ve solucanı daha fazla yaymaya başlar.

Solucan, bir makineden makineye "tgz" arşivi (standart UNIX arşivi) olarak, içinde 8 adet solucan bileşeni bulunan "ADMw0rm.tgz" adıyla aktarılır. Yeni bir makineyi enfekte ederken, solucan o paketi paketten çıkarır ve ana "ADMw0rm" dosyasını çalıştırır, bu da diğer solucan bileşenlerini aktive eder.

ayrıntılar

Uzak makinelerin IP adreslerine saldırmak için solucan bilgisayardaki IP adresleri ve mevcut DNS sunucularını kullanarak mevcut global ağı tarar.

Uzak sisteme saldırmak için solucan, Linux iblisindeki güvenlik açıklarını kullanır: "adlandırılmış".

Uzak makinedeki kopyasını yüklemek ve etkinleştirmek için solucan "arabellek taşması" kodu "root" ayrıcalıklarına geçen, komut kabuğunu çalıştıran ve komutları takip eden talimatları içerir:

• deamon "/ usr / sbin / named" komutunu çalıştırır
• solucan "tgz" dosyasını indirmek için dizin oluşturur, dizin adı "/tmp/.w0rm0r" dir
• "ftp" yi (standart Linux programı) çalıştırır, solucan "tgz" dosyasını ana bilgisayardan indirir (solucandan yayılan makine)
• tüm solucan bileşenlerini "tgz" arşivinden çıkartır
• solucan başlangıç ​​bileşenini çalıştırır: "ADMw0rm" dosyası

Çeşitli.

Solucan birkaç yük ve diğer enfeksiyon dışı rutinleri vardır.

Her şeyden önce, yerel dizinde, kök dizinden başlayarak tüm "index.html" dosyaları (Web sunucuları sayfalar başlatır) bulur ve bunları, metni içeren kendi "index.html" dosyası ile değiştirir:

ADM Inet w0rm burada!

Solucan "/etc/hosts.deny" dosyasını siler. Bu dosya, bu sisteme erişmek için reddedilen ana bilgisayarların (adresler ve / veya Inet adları) listesini içerir (TCP sarmalayıcı kullanıldığı durumlarda). Sonuç olarak, kısıtlanmış makinelerin herhangi biri etkilenen sisteme erişebilir.

Yeni bir sistem enfekte olduğunda, solucan "bildirim" mesajlarını "admsmb@hotmail.com" e-posta adresine gönderir.