Obojživelný virus

Laboratoře Kaspersky Lab informovaly o výskytu multiplatformního viru (Virus.Linux.Bi.a/Virus.Win32.Bi.a) schopného infikovat jak binární soubory ve Windows tak ELF v Linuxu. Virus sice nijak neškodí (je to pouhý "proof of concept"), avšak lidé z Kasperského laboratoří varují, že zneužití jeho kódu je jen otázkou času. Informuje SC Magazine.

10.4.2006 08:59 | Daniel Kvasnička ml. | IT novinky

Komentáře

[Lukáš Zapletal]

To jsem zvědav, co mi ten virus v systému nakazí

Pod rootem přece stahuju poštu a browsím denně, že ano...

[Jindřich 'GoldenShit' Plešinger]

   Chceš tím naznačit, že kdyby všichni uživatelé byli přihlášeni pod obyčejným uživatelem, vir by nemohl způsobit to co může způsobit pod administrátorským účtem? Souhlasím s tebou že obyčejný vir toto nedokáže, věřím však, že dokonalé viry si svou cestu vždy najdou.

[Josef Kufner]

Ne, on to nenaznačuje

Vir to může dokázat jen pokud je v nějakém programu, který se spouští s rootovými právy, díra. Jinak nemá šanci. V tvém oblíbeném systému je situace trošku jiná, tam je potřeba vypnout již vestavěnou podporu pro viry.

[Jindřich 'GoldenShit' Plešinger]

   Sice nejsem programátor, ale nemyslím si, že není jediná cesta jak ovlivnit systém je pouze přes administrátorský účet. Zdali existuje i jiná složitější cesta, nebo ne nám odpověď nedá člověk který je schopen napsat konzolový prográmek, ale spíše autoři virů.

[Michal Vyskočil]

Systém se ani ovlivňovat nemusí, ale obyčejné rm -rf ~/*, nebo find ~ -iname '*.mp3' -exec rm -f '{}' \; dokáže způsobit paseku, která je pro většinu uživatelů horší, než nějaký nefunkční systém. Před něčím takovým neochrání ani unixová práva

[Robert Krátký]

Ale i tyhle příkazy musí někdo spustit.

[Jiří (BoodOk) Kadeřávek]

A ten nekdo (to neco) se do toho systemu nejprve musi nejak dostat. A to predpoklada, ze to neco bude setsakramentsky rychle rozsireno na siti, aby si to zachovalo vubec nejakou relevanci a dalo se rici, ze to predstavuje realne nebezpeci.

[Michal Vyskočil]

obávám se, že průměrný BFU po přečtení e-mailu, kde bude napsáno

Fotky nahé ... (dopňte svou oblíbenou herečku, zpěvačku, pornoherečku). Pro spuštění,

1. stáhněte přílohu delete-mp3.sh do svého domácího adresáře
2. spusťtě terminál a napište sh delete-mp3.sh
3. a dívejte se se na fotky

tohle všechno udělá. Je pravda, že záležitosti kolem adresářů a konzole mohou pro pár neznalých znamenat nepřekonatelnou překážku, ale imho poměrně velká část tohle udělá a spustí.

[Jiří (BoodOk) Kadeřávek]

Uz jsem to napsal, linux/unix ma pro tohle elegantni protizbran, ktera neni vyuzivana, protoze se takove situace zatim nestavaji. Tou zbrani je -noexec na /home partition.

[#Tom]

Pro běžné uživatele to možná nepředstavuje žádné omezení, ale pro programátory je to docela nepříjemné nastavení.

[stativ]

Ale programator neni takovy vul

[Michal Vyskočil]

Divil by jsi se ... :-/

[Luboš Doležel (Doli)]

Pak bych ho ale nenazýval programátorem.

[Spike]

Proč? Programátor není admin.

[tomasgn]

ovsem pokud by byl schopen uvedenym zpusobem zavlect vir do sveho pocitace, zrejme nema ani sajn o bezpecnosti a patrne bude i jako programator prase, takze bych se jeho programu docela bal.

[Luboš Doležel (Doli)]

Pokud považujete nějakého čistě vizuálního "programátora" (aka klikací trouba) za programátora, tak já tedy ne.

[Jiří (BoodOk) Kadeřávek]

Pokud mate na mysli nemoznost spusteni zkompilovaneho kodu, tak je ukolem sysadmina vam dat prostor v systemu, kde sva cviceni muzete provadet. To neni zadny problem. Pokud jste sysadminem sam sobe, tim lepe.

[Kyosuke]

Nevšiml jsem si, že by mě to se SBCL nebo Ruby nějak omezovalo. Aneb je to docela relativní.

[#Tom]

Proč ne, že? Programátor jsem taky, a přitom ani nevím, co SBCL a Ruby jsou zač.

[Michal Vyskočil]

Jistě a kolik BFU distribucí defaultně připojí home s -noexec? Já Linux nijak nekritizuji, pouze se snažím poukázat na to, že i náš "dokonalý" unix může být vůči BFU naprosto bezmocný .

[Jiří (BoodOk) Kadeřávek]

Opakuji, dnes se -noexec bezne nepouziva, protoze viz. vyse. Ja linux nijak nevyzdvihuji, ale snazim se poukazat na to, ze zde existuje jednoduche a rychle reseni, tzn. o zadne bezmoci se neda hovorit. -noexec lze zapnout behem kterehokoliv update BFU distribuce (+ prislusne varovani).

S timhle typem argumentace nemohu proste souhlasit. Ty mas argument, ja protiargument. Pokud se tvuj argument stane relevantni, stane se relevantni i muj protiargument. Takze to, ze se -noexec nepouziva nic neznamena, protoze i tva hrozba se prozatim nerealizuje in-wild a je de-facto teoreticka.

[Jiří (BoodOk) Kadeřávek]

O neco nize mne jeden diskutujici upozornil, ze -noexec neresi spousteni skriptu pres /bin/sh a vice versa. Ma pravdu a ja si to neuvedomil. Afghanske viry na mazani mp3 budou fungovat

[tomas84]

Ale řeší. Aby se ten skript podstrčil /bin/sh, musí se zase spustit jiným skritpem nebo ho musí spustit uživatel - a to už je jeho problém.

[michich]

Tak zrovna v tomhle případě noexec vůbec nepomůže.

[Jiří (BoodOk) Kadeřávek]

Mate pravdu, v tomhle pripade ne, ale to asi nebude typicky pripad sireni viru, pokud se snad tento pripad da virem nazvat. Nicmene mea culpa, spusteni shell skriptu jako parametru shellu nebo pres pipe -noexec nezabrani.

[#Tom]

Stejně jde koneckonců naložit i s binárním programem, jen se to musí podstrčit dynamickému linkeru.

[Jiří (BoodOk) Kadeřávek]

Mam pocit, ze tento bug byl v minulosti jiz osetren. Muzete uvest priklad?

[#Tom]

Vezmu libovolný program. Udělám jeho kopii a zruším spustitelnost a pak to předám dynamickému linkeru:

cp prográmek /tmp/něco
chmod -x /tmp/něco
/lib/ld-linux.so.2 /tmp/něco

Ale možná to nejde ve všech distribucích.

[Jiří (BoodOk) Kadeřávek]

user@host:~$ /lib/ld.so /bin/echo 
/lib/ld.so: invalid dynamic linker option -1078329932

Debian testing/unstable

[Michal Vyskočil]

Afaik máš pravdu, ld-linux.so.2 už podobnou zranitelností netrpí.

[David Watzke]

Ne?

david@amd64 ~ $ /lib/ld-2.4.so /bin/echo

david@amd64 ~ $

[Jiří (BoodOk) Kadeřávek]

A nove se objevila u 64-bitove verze Ach to gentoo

[michich]

No ale teď to zkuste ještě jednou, ale místo /bin/echo tam dejte nějakou binárku na filesystému, který je přimountovaný s volbou noexec (podle mého testování odebraní příznaku spustitelnosti nestačí).

[Jiří (BoodOk) Kadeřávek]

Mount sem, mount tam, jen aby to David nemusel reinstalovat I kdyz mne nenapada, jak s mountem sestrelit system. Pro Davida:

#> mount -o remount,noexec /home
... nas test
#> mount -o remount,exec /home

[Jiří (BoodOk) Kadeřávek]

Ale /bin/sh evidentne ano No, kdovi, zda by to vubec slo realizovat a nebylo to pro system fatalnim omezenim. Asi to budu muset povazovat za ficuru

[#Tom]

Nejsem si jist, jestli se tomu dá opravdu říkat zranitelnost...

[#Tom]

Ale je pravda, že na noexec oddílu mi to nějak nejde.

[Robert Krátký]

průměrný BFU [...] tohle všechno udělá

Ovšem potom si myslím, že takový "uživatel" si přímo zaslouží být potrestán. Kdyby takovému BFU přišel email, ve kterém by se psalo, že má otevřít okno, vzít monitor a hodit ho ven (a jedině tak vyhraje milión), také bys pro něj měl pochopení, kdyby to skutečně udělal?

[Michal Vyskočil]

Moment, já netvrdím nic o pochopení, ale o tom, že takové věci se budou stávat, pokud bude Linux používaný BFU, nic víc a nic mín

[Kyosuke]

Myslmí, že zádrhel bude ve věcném obsahu zprávy: "schopného infikovat jak binární soubory ve Windows tak ELF v Linuxu". Pokud /home je noexec, nemá virus v /home co infikovat a ve zbytku filesystému nemá jak infikovat. Pro "kompilované viry" pak prostě nezbývá prostor. Samozřejmě že z velké části je to diktatura způsobu práce systémem uživateli (Chceš si spustit program? Nainstaluj si ho kontrolovaným způsobem!), ale proč skvělé Windows nedisponují podobně snadno použitelným mechanismem, který by zlepšil jejich zabezpečení a usnadnil život správcům?

[Jan Martinek]

Já tomu asi nerozumím, v čem je tento virus tak jedinečný a v čem spočívá jeho "proof of concept". Co je zvláštního na tom, že existuje binárka, která přepisuje ostatní binárky? To dělá prelink taky, no ne?

[Michal Vyskočil]

Pokud mě paměť neklame, tak podobný vir vznikl v našich končinách už v roce 2001. Běžel pod Windows, ale byl schopen nakazit elf binárky, pokud tam byla připojený linuxový oddíl a s právem pro zápis. V tom případě je nákaza tvého systému reálnější a nemusíš ani v Linuxu pracovat jako root.

[Lukáš Zapletal]

Windows sice na notebooku jsou, ale nabootovány jsou jen když mám někde vystoupení, po akci jsou zase vypnuty

Ale jo - beru to jako jednu z možností nákazy. Pochopitelně je možný, že "chytrý" virus využije nějakou díru v programu. Nebezpečné jsou zejména prohlížeče a čtečky pošty/RSS aj. Jak často ale najdete v těchto programech díry vedoucí k eskalaci privilegií?

[Ctirad Feřtr]

Na to, aby mi něco smazalo všechna data, začalo rozesílat spam na všechny strany nebo si otevřelo na nějakém portu backdoor, přes který mi kdokoliv může běhat po disku a sosat odtamtud soubory (u většiny dister může user číst jakékoliv soubory s výjimkou těch v /root/), roota nepotřebuje. Uvědomte si to. A když si to spojení iniciuje zevnitř, tak napadenému nepomůže ani to, že je za NATem a má firewall (kdo běžně na FW zakazuje odchozí spojení?).

[msk]

A ako sa ten virus SAM OD SEBA (!!) spusti? Alebo povazujete shellovy script s "rm -rf ~" poslany na niekoho mail za virus?

[Ctirad Feřtr]

Nepřecenoval bych inteligenci běžných uživatelů. Ti spustí cokoliv. Už dnes někteří běžně stahují různé cedegy, nera a další komerční softy z p2p, takže podstrčit tam cokoliv není problém. A s rostoucí popularitou platformy takových softů i uživatelů bude přibývat. Takže si nedělejte iluze.

Na druhou stranu linuxu asi nikdy nebude hrozit epidemie mailových virů nebo havěti, která se do počítače infiltruje při prohlížení www nebo dokonce pouhým připojením k síti. Ale to, že si někteří uživatelé zaserou počítač výše uvedenou cestou, to je jenom otázka času.

[Michal Vyskočil]

Nepřecenoval bych inteligenci běžných uživatelů. Ti spustí cokoliv. ... Ale to, že si někteří uživatelé zaserou počítač výše uvedenou cestou, to je jenom otázka času.

Byl jsi o minutku rychlejší

[lefti]

Mozna je veci kvalitni distribuce, aby toto osetrila.

[kavol]

ehm, jak může distribuce ošetřit, že je uživatel blbec?

to se jako má odmítnout nainstalovat, dokud neprojde testy ze znalostí bezpečnosti, IQ a psychotesty (že nemá sklony nechat se zmanipulovat)?

[Michal Vyskočil]

100% bych neprošel, protože se rád vrtám v systému

[lefti]

O tom to je - vymyslet jak to udelat. Pro zacatek by stacil treba zpusob k jednoduchemu nastaveni spousteni pouze binarek, ktere odpovidaji checksumum.

[Jiří (BoodOk) Kadeřávek]

Zatim ale neni jasne, jak by se tam ten virus dostal. Pokud se snad ukaze, ze existuje realna cesta pruniku do uzivatelova /home, tak lze okamzite zapojit noexec.

[Lukáš Zapletal]

No když to vztahuješ přímo na mou osobu, tak já data mám pravidelně zálohovaná, žádný program v systému mi nic nebude nikam posílat, aniž bych o tom věděl (Conky, seznam otevřených spojení) a už vůbec nebudu spouštět nějakou krávovinu poslanou od kamaráda...

Nicméně souhlasím s tím, že domovskej adresář si může neznalý uživatel "zapráskat". Ovšem systém by se dal nastavit i tak, aby neměl možnost uživatel spouštět binárky z /home...

Je dobré mít se na pozoru a s rostoucí popularitou Linuxu mít své sítě chráněné antiviry.

[stativ]

a už vůbec nebudu spouštět nějakou krávovinu poslanou od kamaráda...

Pokud nemas kamarada paranoika V patek jsem jedny kamosce poslal genialni win programek samejproblem. Normalne by ho nikdy nepustila, ale jak mi dnes rikala, ode mne to zavirovany byt nemuze (taky ze nebyl). Tak ho spustila a o vikendu mi prisel vyhruzny mail

Koho zajima co zpusobuje, at se koukne na google. Zabavi na dlouho.

[Max]

Hmm, takže něco jako prográmek 1.000.000chyb windows, jop? Hehe, osobně jsme se také kdysi bavili prográmkem(už si nepamatuji jeho jm.), co za určitý čas, který se dal nastavit, vypínal a zapínal caps lock-scroll-lock-num lock. Při hraní her to pak byla někdy pěkná zábava, obzvláště když dotyčný používal třeba numerickou klávesnici :).
Zdar Max