BU SERVİS, GOOGLE TARAFINDAN SAĞLANAN ÇEVİRİLER İÇEREBİLİR. GOOGLE, HERHANGİ BİR GARANTİ, GÜVENİLİRLİK VE TİCARİ ELVERİŞLİLİK, BELİRLİ BİR AMACA UYGUNLUK VE İHLAL ETMEME GARANTİLERİ DAHİL OLMAK ÜZERE AÇIK VEYA ZIMNİ GARANTİLER DE DAHİL OLMAK ÜZERE, AÇIK VEYA ZIMNİ TÜM GARANTİLERİ REDDEDER.

Kaspersky Lab web sitesi, Google Çeviri tarafından desteklenen çeviri yazılımı kullanılarak size kolaylık sağlamak amacıyla tercüme edilmiştir. Doğru bir çeviri sağlamak için makul çabalar sarf edilmiştir, ancak otomatik çeviri mükemmel değildir ve insan çevirmenlerinin yerini alması amaçlanmamıştır. Çeviriler, Kaspersky Lab web sitesinin kullanıcılarına bir hizmet olarak sunulur ve "olduğu gibi" sağlanır. İngilizce'den başka bir dile çevrilmiş herhangi bir çevirinin doğruluğu, güvenilirliği veya doğruluğu konusunda açık ya da zımni hiçbir garanti verilmemektedir. Çeviri yazılımı sınırlamaları nedeniyle bazı içerikler (görüntüler, videolar, Flash vb. Gibi) doğru bir şekilde çevrilemeyebilir.

Net-Worm.Linux.Adm

Sınıf Net-Worm
Platform Linux
Açıklama

Teknik detaylar

Bu, Linux sistemlerine bulaşan solucudur. Solucan ilkbahar 1998'de keşfedildi. Bir Linux güvenlik ihlali (sözde "arabellek taşması" ihlali) kullanarak sistemden sisteme yayılıyor ve uzak sisteme yüklenmesine izin veriyor ve orada daha sonra indirip etkinleştiren kısa bir kod parçası çalıştırıyor. Ana solucan bileşeni.

Solucan, UNIX paketlerinin çoğunda dağıtılan ve internet için isim servisi sağlayan BIND (Berkeley Internet Name Domain) program paketinde bir güvenlik ihlali kullanmaktadır.

Kendini Solucan

Bu 8 dosyadan oluşan çok bileşenli bir solucudur. Bu dosyalar komut dosyası programları ve yürütülebilir dosyalardır. Komut dosyası programları, Linux komut kabuğu tarafından çalıştırılan ".sh" dosyalarıdır. Yürütülebilir dosyalar standart Linux ELF yürütülebilir dosyalarıdır.

Solucanın ana bileşenleri, ana bilgisayar olarak çalıştırılan komut dosyası ".sh" dosyalarıdır ve sonra gerekli eylemleri gerçekleştirmek için geri kalan dosyaları (ek ".sh" dosyaları ve ELF yürütülebilir dosyaları) çalıştırır.

Bileşenlerin listesi aşağıdaki gibi görünür:




 ADMw0rm Adlandırıldı



 gimmeIP remotecmd



 gimmeRAND scanco



 artımlı test



Yayma

Yayılma (bir uzak Linux makinesini enfekte ederek) "tampon taşması" saldırısı ile yapılır. Bu saldırı, saldırıya uğrayan bir makineye gönderilen özel bir paket olarak gerçekleştirilir. Paketin özel hazırlanmış bir veri bloğu vardır. Paketin veri bloğu daha sonra bu makinede bir kod olarak yürütülür. Bu kod, virüs bulaşmış makineye bir bağlantı açar, solucan kodunun kalanını alır ve etkinleştirir. O anda makine enfekte ve solucanı daha fazla yaymaya başlar.

Solucan, bir makineden makineye "tgz" arşivi (standart UNIX arşivi) olarak, içinde 8 adet solucan bileşeni bulunan "ADMw0rm.tgz" adıyla aktarılır. Yeni bir makineyi enfekte ederken, solucan o paketi paketten çıkarır ve ana "ADMw0rm" dosyasını çalıştırır, bu da diğer solucan bileşenlerini aktive eder.

ayrıntılar

Uzak makinelerin IP adreslerine saldırmak için solucan bilgisayardaki IP adresleri ve mevcut DNS sunucularını kullanarak mevcut global ağı tarar.

Uzak sisteme saldırmak için solucan, Linux iblisindeki güvenlik açıklarını kullanır: "adlandırılmış".

Uzak makinedeki kopyasını yüklemek ve etkinleştirmek için solucan "arabellek taşması" kodu "root" ayrıcalıklarına geçen, komut kabuğunu çalıştıran ve komutları takip eden talimatları içerir:

  • deamon "/ usr / sbin / named" komutunu çalıştırır
  • solucan "tgz" dosyasını indirmek için dizin oluşturur, dizin adı "/tmp/.w0rm0r" dir
  • "ftp" yi (standart Linux programı) çalıştırır, solucan "tgz" dosyasını ana bilgisayardan indirir (solucandan yayılan makine)
  • tüm solucan bileşenlerini "tgz" arşivinden çıkartır
  • solucan başlangıç ​​bileşenini çalıştırır: "ADMw0rm" dosyası

Çeşitli.

Solucan birkaç yük ve diğer enfeksiyon dışı rutinleri vardır.

Her şeyden önce, yerel dizinde, kök dizinden başlayarak tüm "index.html" dosyaları (Web sunucuları sayfalar başlatır) bulur ve bunları, metni içeren kendi "index.html" dosyası ile değiştirir:

ADM Inet w0rm burada!

Solucan "/etc/hosts.deny" dosyasını siler. Bu dosya, bu sisteme erişmek için reddedilen ana bilgisayarların (adresler ve / veya Inet adları) listesini içerir (TCP sarmalayıcı kullanıldığı durumlarda). Sonuç olarak, kısıtlanmış makinelerin herhangi biri etkilenen sisteme erişebilir.

Yeni bir sistem enfekte olduğunda, solucan "bildirim" mesajlarını "admsmb@hotmail.com" e-posta adresine gönderir.


Orijinaline link