Trojský kůň DDoS pro Linux obsahující komponentu RootKit

Bezpečnostní experti společnosti Avast analyzovali nový kmen trojského koně zaměřeného na OS Linux, pojmenovaný XOR.DDoS, který obsahuje také komponentu RootKit. Na tento nový malware upozorňoval v listopadu na blogu sdružení CZ.NIC Ondřej Mikle. [CSIRT.CZ]

10.1.2015 07:43 | Ladislav Hagara | Zajímavý článek

Komentáře

[vasek]

A jak se dá takové napadení systému vlastně detekovat? Jsou nějaké online nástroje pro detekci podezřelého chování (zjištění různých systémových volání apod.) nebo je člověk odkázaný na analýzu logů a doufání, že jim může na napadeném systému věřit?

[r76]

http://test.bezpecnosti.cz/

osobne sem nasel jen toto....a myslim,ze je to na nic

[vasek]

Tím online jsem myslel něco co běží v systému a monitoruje chování - něco jako obdoba rezidentního štítu antiviru ve windows. Pokud vím, nic takového není a detekce vniknutí do systému může být jen otázkou náhody.

[r76]

http://www.eset.com/int/download/home/detail/family/71/

leda tohle. taky bych rad neco nasel...nejlepe online abych obcas projel system.

[r76]

http://www.eset.com/int/download/home/detail/family/71/

se omlouvam,...asi vítr :(

[MilanH]

Tak on antivirus pro Linux je z principu blbost. Linux je v základu Unix a neexistuje možnost, jak pro něj vytvořit škodlivý kód, narozdíl od věčně děravých widlí. Holt bez root práv (něco jako práva administrátora ve widlích) nemá útočník šanci cokoli špatného natropit, tak se přestaňte zbytečně bát a vykašlete se na nějaké rezidentní štíty. To přenechte widlákům.

[⧠ A = 0]

Už to nehul.

[Petr Ježek]

Asi bych i souhlasil, nebýt dvou drobných problémů: Prvním je fakt, že uživatel se do role admina (roota) dostává poměrně často a netuší, jaké procesy přitom vlastně běží a mohou být zneužity k získání práv roota. Dále, postupný trend posilování userspace znamená, že ona pověstná unixová bariéra mezi rootem a uživateli doznala zásadní proměny znamenající její oslabení. Na serverech lze provozovat rutinní (rezidentní) scan v době nejnižšího provozu a tam to dává obzvláště smysl. Na uživatelských stanicích to dává smysl pouze tam, kde uživatel netuší, která dvířka kde mimoděk a neúmyslně otevřel - prostě u linuxu příliš neznalého uživatele. Jinde probíhá nepravidelná kontrola jinými prostředkya uživatel obvykle ví, co činí. Tam je rezidentní scan opravdu zbytečný.

[Migi]

Skutečně? V čem mi základ v unixu brání napsat shellový kód pro smazání dat v userspace? Pak je to už jen o přesvědčení uživatele ke spuštšní. Stačí to přibalit k nějaké "zajímavé" hře nebo populárnímu softu, který se nestahuje z repa, a je to.

A nedej bože, když by to "instalovali" pod rootem. :P

[tany]

Ale to je pořád o tom, že roota má debil. Podle této logiky je linux úplně nahovno a totálně děravý, viz legendární univerzální odpověď na cokoli rm -rf / .

[luky]

V tom pripade to je ale trojan a ne vir. Vir se siri tim, ze se sam nakopiruje do programu, knihoven, startovaciho zaznamu atd., coz pod normalnim uzivatelem nejde udelat.

[MadCatX]

Ale samozřejmě že jde. Jednak existují bezpečnostní díry, pomocí kterých lze dostatečná oprávění získat a druhak škodlivý kód nemusí hned běžet pod rootem, aby dokázal páchat zlo.

[luky]

Zlo pachat muze, ale to z programu neudela vir. Pokud se bude sirit pomoci nejake chyby, jedna se o cerva - opet to neni vir.

[MadCatX]

Hádat se o nepřiliš jasně definované nomenklatuře různých programů, které provádí bez vědomí uživatele nežádoucí činnost se nebudu. Podstatné je, že pro Linux z principu existovat mohou a existují, ať už je označíte jakkoliv...

[oryctolagus]

Prostě je to malware, a hotovo.

Jinak diskuse mi připomněla tenhle xkcd.

[Ladislav Hagara]

Komiks xkcd 1200: Autorizace

[Bedňa]

Tento je jeden z najlepších :)

[ed]

Rozdiel je ale v tom, ze tieto diery su platane, takze z tych zhruba 300 virusov, ktore som nejaku dobu dozadu evidoval, je v dnesnej dobe zrejme funkcnych 0. Pokial teda nie su zalozene na tom, ze pouzivatel vyuziva bezne konto roota a nejako moc neriesia, ze nemaju prava na zapis do suborov (otazne je, komu by to na co bolo, binarky sa medzi systemami moc nekopiruju). Bez exploitu nejakej diery je ale v podstate nemozne stat sa rezidentnym v systeme tak, aby to nebolo prilis napadne a infikovat iny system po sieti zasa vyzaduje exploitovat bezpecnostnu chybu. V skutocnosti zrejme bezpecnostnych chyb viac, pretoze moznost spustit kod v kontexte nejakeho sietoveho demona by zvacsa malo viest k moznosti spustit kod v kontexte nejakeho velmi neprivilegovaneho usera, nie roota. To je sice prekonanie bezpecnosti, ale na "virusoidnu" aktivitu to IMHO stale nestaci.

Takze si myslim, ze rezidentna ochrana ako sposob aktivnej ochrany linuxoveho systemu voci infekcii je zbytocna. Vhodne naprogramovana heuristika schopna sledovat stav systemu a vyhodnotit nejake podozrive chovanie, alebo este lepsie integritu systemu na styl runtime analyzeru kodu by bola dobra na hladanie dier v jadre (nie v zmysle "pocuj, asi je tam niekde diera, lebo tu mam podivny kod" ale v zmysle "takto je mozne ziskat opravnenia roota, a/alebo spustit lubovolny kod v kontexte jadra"). Tu sa ale obavam, ze taka diagnostika by si jednak z userspace pri sledovani stavu neskrtla a jednak by taka analyza asi zabrala nemalu cast vykonu.

[Foo Bar]

Pokud se budete ve Windows chovat stejně uvědoměle jako se chováte běžně v Linuxu, tak nepotřebujete rezidentní ochranu ani na Windows. Tj. instalace dodatečného software pouze z Windows Store, Steamu, atp. a běžnou práci budete provádět pod neprivilegovaným uživatelem.

AFAIK nejhorší vektor zranitelnosti na Windows jsou dnes uživatelé, kteří jsou zvyklí spustit cokoli staženého z Internetu a odklikat všechny dialogy.

Samozřejmě, že se čas od času objeví nějaký drive-by útok přes prohlížeč, který napadne nějaký bezva plugin, který je instalovaný v XX miliónech zařízeních (dost creepy hláška), nebo vzdálená zranitelnost, ale nemám v poslední době pocit, že by se to nějak zvlášť lišilo mezi platformami...

A jen tak na okraj - pokud se vyznáte ve všech procesech, které běží pod Vaším účte a pravidelně kontrolujete obsah složky autostart Vašeho desktopu, tak Vám nezbývá nic jiného než gratulovat k velmi zodpovědnému chování.

Bohužel i na Linuxu už je přítomna ona mentalita: "stáhnu, pustím a důvěřuji". Stačí si nainstalovat Google Chrome, Dropbox, Spotify...

[frdrx]

Souhlasím, nicméně Windows jsou malware samy o sobě.

[lertimir]

Asi je to v W7 lepsi. Ale pamatuji si, jak jsem chtel dceri tak v roce 2005 nastavit presne tento rezim na XP, tedy omezeny uzivatel na praci a admin na udrzbu, a zkrachovalo to na tom, ze tak 50% programu nebylo v omezenem rezimu plne funkcnich.

[Foo Bar]

> neexistuje možnost, jak pro něj vytvořit škodlivý kód

Naivita nad naivitu... #mademyday

A ještě bych chtěl slyšet tu pohádku o tom, jak jsou komerční *nixy odolnější...

[SE]

Není důvod k panice. Tahle havěť potřebuje získat root přístup a zkouší útok hrubou silou na SSH.

"The infection starts by an attempt to brute force SSH login credentials of the root user."

[Jendа]

Ano, tahle konkrétní. Určitě jich ale bude venku víc, nebo někdo brzo něco hezkého napíše.

[j]

Zadny viry neexistujou (netreba dokazovat, je to axiom).

Jediny virus je obsluha.

Plati zcela vseobecne, jen v pripade widli je ta obsluha prevazne 1000x tupejsi. Bonusem budiz to, ze v tuxovi se bez roota pracovat da.

Jinak je asi tak o 10 radu jednodussi a efektivnejsi primet obsluhu k tomu, aby neco spustila, nez system napadnout bez jeji ucasti. Ono povestne "ja jsem chudy virus, tak si nahodne smaz par souboru po disku" totiz naprosto dokonale odpovida realite.

[Petr Ježek]

Mezi "potřebuje získat" a "získává" je obrovský rozdíl. Zde konkrétně je nutná aktivní spoluúčast správce/uživatele systému, ostatně jako téměř vždy v těchto případech. Ostatně SSH je prakticky jediným častěji využívaným slabým článkem pro tyhle exploity.

[safs]

Pomoci rkhunter nebo chkrootkit.

[vadimo_user]

sudo rkhunter --update
sudo rkhunter -c

[Jendа]

nebo je člověk odkázaný na analýzu logů a doufání, že jim může na napadeném systému věřit?

Vypadá to tak. Vítej v IT roku 2015.

On ten nástroj běžící uvnitř napadeného systému půjde vždycky obejít, ten malware ho prostě deaktivuje, schová se před ním…

[luky]

TPM

[Lol Phirae]

To si narvi do análu.

[Jendа]

Proč? Správně použito může mít různé výhody.

[Daniel Čižinský]

Nebo nespravne (ale vcas) pouzito muze prilakat Joannu! A ta za to stoji.

[lertimir]

No to nemusí být až zas tak pravda. Často je důležité, kdo je v systému dříve. Jedoucí ochraný nástroj může startujícímu útočnému softu v mnohém zabránit. Třeba tak, že pustí jen prověřený program. (t.j. jen takovou binárku, kterou má registrovanou a sedí hash.) Také je podstatné jak hluboko na HW ochraný nástroj sahá. Viděl jsem a analyzoval několik útoků, které silně modifikovaly knihovny OS, ale pokud se prováděla komunikace přímo na blokové zařízení dělala se analýzu inode a struktury FS ve vlastní režii tak to oblbnout nedokázaly.

A souhlas s tím, že to není triviální. A takové ty řeči, že linux nepotřebuje ochrané nástroje, ať již to budeme nazávat antivirus nebo jinak, jsou kecy.

Samozřejmě první, co trochu inteligentní utočný soft udělá po získání privilegií je, že promaže logy. Takže o něco více spolehlivé logy než lokální jsou syslog na jinou mašinu (logovací server).

[j]

Ono neni promazat logy jako promazat logy, specielne na tuxovi, pokud dotycny pouziva jiny nez ocekavany logger. Navic i tak to je dost casto minimalne poznat.

Nemluve o tom, ze zadnej nastroj nezastavi uzivatele. Widle se asi tak 150x ptaj jestli chces spustit ... a kdyz to odklipe ...

[stativ]

Co kontrola integrity systému, jako je aide nebo tripwire?

[biolog]

Oskenovat systém pomocí nějakého LiveCD nebo nainstalovaného jiného důvěryhodného systému.

Pokud máte funkční secure boot (nebo verified boot nebo jak se tomu správně říká), tak se vám to ověřuje samo, stačí občas rebootovat.

[Petr Ježek]

Většinou ano. Ne však vždy. A člověk je tvor kreativní...

[frdrx]

Spíš plemeno když už.

[Cool/Explosion]

Spíš plemeno když už.

Nechci rozjizdet zadnej flame, ale tohle by me docela zajimalo

U zivejch koni je to plemeno.

Viry jako (jako vnitrobunecni cizopasnici) maj kmeny.

Ale pocitacove viry? Nejsou zive, jsou to jen jednicky a nuly.

Mam tedy rikat ze maj kmeny? Nebo druhy ci varianty?

Trojsky kun taky nebyl zivej ani historicky ani u PC.

Osobne mi tam plemeno fakt nesedi

A ani sem si nic nevybral z wiki

[frdrx]

Ještě by to mohl být model .

[biolog]

Hurá! Už nás neignorují!

[AsciiWolf]

[pavlix]

Then they ridicule you.

[Petr Ježek]

Then you win.

[mica]

And in the end, you die.

[Petr Ježek]

Jde o n-tý pokus dát na vědomí, že když admin (root a na některých instalacích už i pouhý uživatel, bohužel) dopustí, připustí hrubý útok na poněkud subtilní SSH. Dokud se využívá slabosti SSH, řešení je snadné. Ergo vtloukat do hlav všech, jak zabránit získání práv roota komukoli jinému než "vyvolenému"!