Форумы / Безопасность / Скрытая вредоносная вставка в deb-пакете с хранителем экрана waterfall

Форумы

Kalina LUG :: Форумы :: Основной :: Безопасность		<< Предыдущая тема \| Следующая тема >>
Скрытая вредоносная вставка в deb-пакете с хранителем экрана waterfall


Модераторы: kalina, sanitar, NaTty, COMRADE_ARTYOM, variable, Solaris, az, Andreyf1

Автор

Добавил

Solaris

Чтв Дек 10 2009, 17:51

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

В deb-пакете с хранителем экрана waterfall, распространяемом через известный каталог GNOME-приложений GNOME-Look, зафиксировано наличие скрытой вредоносной вставки. После установки данного пакета в систему интегрируется специальный набор скриптов, предназначенный для подключения машины к проведению DDoS атак. Скрипт поддерживает удаленное получение заданий и способен самостоятельно обновить себя до более новой версии. Логика работы вредоносного ПО сводится к периодической загрузке и обычного shell скрипта, который затем запускается с правами root и выполняет, например, "ping -s 65507 хост".

Кроме того, подобный вредоносный код удалось обнаружить и в пакете с визуальной темой Ninja Black. Пользователям рекомендуется избегать установки сторонних пакетов, даже если они распространяются через известные ресурсы и по описанию содержат только мультимедиа данные.

При установке троянского пакета в системе появляются файлы /usr/bin/Auto.bash, /usr/bin/run.bash, /etc/profile.d/gnome.sh и index.php. Для излечения достаточно найти и удалить эти файлы, а также удалить пакет app5552 (sudo dpkg -r app5552).
Взято отсюда.

Проверяйте пакеты программ.

Наверх

Solaris

Чтв Дек 10 2009, 18:21

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

Также по просьбе форумчан публикую русскоязычный источник: [-link-] с русским текстом.

Наверх

Гарик

Птн Дек 11 2009, 18:48

ID пользователя #23

Зарегистрирован: Втр Фев 26 2008, 15:41

Сообщений: 534

Сначала новые антивирусы, теперь вредоносные закладки. Видимо, Линукс набирает-таки популярность.

Наверх

Solaris

Сбт Дек 12 2009, 11:42

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

Если не работать под root думаю ничего страшного от этой закладки не будет в системе.

Наверх

Гарик

Сбт Дек 12 2009, 12:18

ID пользователя #23

Зарегистрирован: Втр Фев 26 2008, 15:41

Сообщений: 534

В том-то и дело, что этот скрипт пользуется рутовыми правами, полученными при установке пакета.

Наверх

Solaris

Пнд Дек 14 2009, 11:31

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

А если ставить без root, а через sudo ставить?

Наверх

overmind88

Срд Дек 16 2009, 10:15

ID пользователя #25

Зарегистрирован: Чтв Фев 28 2008, 23:58

Сообщений: 221

без разницы

Наверх

Solaris

Срд Дек 16 2009, 17:19

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

А как скрипт может пользоваться правами пользователя root? Мне просто хочется понять это. Может быть он будет спрашивать пароль как это обычно происходит?

Наверх

overmind88

Срд Дек 16 2009, 17:23

ID пользователя #25

Зарегистрирован: Чтв Фев 28 2008, 23:58

Сообщений: 221

примерно так же, как выполняются скрипты при загрузке, владелец - рут, поставлен флаг исполнения (+x) и всё

Наверх

Solaris

Срд Дек 16 2009, 17:24

ID пользователя #22

Зарегистрирован: Втр Фев 26 2008, 15:15

Сообщений: 1559

Тогда это действительно серьезно. В системе брешь. Интересно как можно избежать этого.