Malware Linux/Mumblehard

ESET informuje o malwaru Linux/Mumblehard. Podrobná jednadvacetistránková analýza v PDF. Servery infikované tímto nežádoucím softwarem sloužily / slouží k rozesílání spamů minimálně posledních 5 let. ESET koupil jednu z domén, na které původně běžel C&C server. Za 7 měsíců bylo navázáno spojení z 8867 unikátních IP adres. V průběhu jednoho dne to bylo nejvíce 3292 unikátních IP adres. Hlavní komponenty Linux/Mumblehardu byly napsány v Perlu a schované v binárních souborech typu ELF. Zadní vrátka (backdoor) byla aktivována pomocí crona. Pro jistotu se doporučuje zkontrolovat obsah souboru crontab.

2.5.2015 15:15 | Ladislav Hagara | Zajímavý článek

Komentáře

[pc2005]

They are both written in Perl and feature the same custom packer written in assembly language.

Tak to jsem nějak nepochopil. Něco jako Perl s inline assemblerem? :-O

[Marián Kyral]

Je to v tom pdf. Kód v assembleru spustí interpret perlu a do něj pak přes pipe pošle perl skript.

[pc2005]

Aha thx, jsem to PDF přehlédl.

[little.owl]

... there are two plausible infection vectors used to spread Mumblehard. The most popular vector seems to be the use of Joomla and Wordpress exploits.

Uspesne tazeni webarskych smudlu k lividaci povesti Linuxu .

[pc2005]

Jenom toho x86 .

[Salamek]

No Joomla a Wordpress jsou nejvetsi sracky, spolecne s Drupalem... nechapu jak to muze byt tak pouzivane...

[H0ax]

Protože je to easy-to-use a protože ne každej, kdo chce web o pár stránkách, chce utratit spoustu peněz za vývoj vlastního webu.

[pavlix]

A taky protože je to daleko jistější a spolehlivější cesta k webu než oslovovat nějaké nepříliš drahé webaře, kteří občas práci dodají za dlouho, občas ji nedodají, občas nefunguje a hlavně co pak s tím.

[trekker.dk]

http://www.bugemos.com/?q=node/194 (druhý obrázek)

Krom toho nepříliš drahý webař snadno vyprodukuje ještě větší strašnost, než je ten Wordpress. (A nebo nainstaluje Wordpress a nechá si za to zaplatit.)

[pavlix]

Tak.

[Salamek]

"větší strašnost" než Wordpress snad ani vyprodukovat nejde...

[pavlix]

To byses hodně divil.

[trekker.dk]

mysql_query("select * from tabulka where id = ".$_GET['id']); je u samo-domo webů naprosto běžná záležitost.

Teda... ne že bych sám používal Wordpress, ale stejně by mě zajímalo, co vyprodukovali lidi, co na něj nadávají. A když jsme u toho, jestli nadávají na Wordpress, nebo vlastně na nějaký blbě napsaný plugin

[trekker.dk]

Nebo ani ne nutně co vyprodukovali, stačí říct, co použít místo Wordpressu.

[Salamek]

No ja delam v Djangu/Flasku a v Nette co se webu tyce:

https://www.weby.cz
https://shootingpeople.org/ (jen casti kde se pouziva bootstrap, mix symfony a djanga)
https://mail.sigmapumpy.com:1025/
http://dravencms.salamek.cz/ (a projekty odvozene od tohoto CMS -- Moje CMS postavene na Nette)

...je toho vic

Co jsem potkal Wordpress:
http://divine-warfare.com/ same problemy se spamem... a web je vice mene tak o hovne (nastesti se uz pracuje na django verzi)

Co jsem potkal drupal:
http://www.vsezpapiru.cz/ ktery nasazuje nejmenovany RedWeb... (Ja jsem tam tehdy implementoval jen tohle
http://www.vsezpapiru.cz/zakazkovylist) ten web uz tak 6x prohucel (spam, hack serveru a kdo vi co vsechno)

A Joomla projekty se kterymi jsem mel neco spolecneho nastesti vsechny zdechly

[Sten]

Django CMS? Ale nepoužívá to PHPčko, není to dostatečně cool

[chrono]

Ešte je len začiatok Mája a Django má priradených 5 CVE.

[chrono]

A len tak pre zaujímavosť, Wordpress nemá tento rok ešte ani jedno CVE (všetky chyby sú buď v pluginoch, alebo témach, ale predpokladám, že ani Django nebude mať rôzne doplnky výrazne kvalitnejšie).

[Lol Phirae]

Tak to mě opravdu uklidňuje, viz...

[Slavko]

Ono možno nejde o to cool, ale o ponuku hostingov, nie každý si bude doma platiť verejnú IP a stavať vlastný server, ktorému potom musí robiť min. bezpečnostnú údržbu...

[Michal Kubeček]

Nemusí to být doma, můžete využít housing. Nebo pokud nechcete udržovat vlastní fyzický server, lze si pronajmout dedikovaný server.

[pavlix]

Provozní náklady na virtuální servery jsou v dnešní době pod hranicí rozlišitelnosti businessu. Sám jsem kdysi zakládal hosting za účelem podpory pythonistů, rubystů a jim podobných, ale vzal jsem to ve chvíli, kdy jsem potřeboval opravdu vydělávat. To jsem si koupil jeden testovací virtuál pro sebe, zákazníkovi jsem doporučil jeden testovací a jeden provozní a nechal jsem se platit od hodiny. Nejdůležitější bylo zbavit se starosti o hardware, to v malém měřítku stálo spoustu času a peněz a negenerovalo to žádný zisk.

Druhá věc je údržba software na serveru, ale dneska už může člověk bez problémů hostovat aplikace v různých programovacích jazycích a neustále se situace zlepšuje. Pak lze vyžít s bezpečnostní údržbou poskytovaného software (samozřejmě včetně bundlovaných knihoven apod).

Doba kdy byl provoz PHP znatelně levnější, je pryč.

[trekker.dk]

Provozní náklady na virtuální servery jsou v dnešní době pod hranicí rozlišitelnosti businessu.

Náklady na provoz serveru možná, ale správa už tak levná nebude. Druhá otázka je, kolik se pro který jazyk sežene programátorů (vzácnější zdroje bývají dražší.) A pak taky jestli nakonec použití ne-PHP přinese nějaké výhody, které vyváží (o více či méně) vyšší cenu.

[pavlix]

Náklady na provoz serveru možná, ale správa už tak levná nebude.

Což je taky jediný důvod, proč komentář v tomto bodě nekončí.

Druhá otázka je, kolik se pro který jazyk sežene programátorů (vzácnější zdroje bývají dražší.) A pak taky jestli nakonec použití ne-PHP přinese nějaké výhody, které vyváží (o více či méně) vyšší cenu.

To jsou jistě zajímavé otázky, ale jejich řešení jsem se v životě zcela vyhnul a plánuju u toho zůstat i nadále. Pro mě je důležité, abych v PHP nemusel psát já, spravovat servery pro PHPkáře mi ovšem nijak zvlášť nevadilo.

[jozka]

Protoze pro nas neIT je to cesta jak prijit k webu o neco slozitejsimu nez par statickych stranek? Protoze kdyz se obratime na IT bozstva, tak za to utratime penize, ktere jinak mame utratit za veci, o kterych maji ty stranky informovat a kdyz je utratime za IT, tak nebude o cem informovat a stranky tak budou zbytecne?