Перейти к содержанию

ЛК: Времена безопасности *nix-систем давно прошли


Рекомендуемые сообщения

http://www.securitylab.ru/news/379709.php?pagen=10#comment

Здравствуйте. Можно ли увидеть полный листинг кода троянов что-бы заделать дыру с помощью которой они прописываются в автозапуск?

И ещё вопрос. Участвуете ли Вы в такого рода(поиск новых троянов\вирусов) исследованиях? Если участвуете, то в качестве кого?

Изменено пользователем Pupkur
Ссылка на комментарий
Поделиться на другие сайты

http://www.securitylab.ru/news/379709.php?pagen=10#comment

Здравствуйте. Можно ли увидеть полный листинг кода троянов что-бы заделать дыру с помощью которой они прописываются в автозапуск?

И ещё вопрос. Участвуете ли Вы в такого рода(поиск новых троянов\вирусов) исследованиях? Если участвуете, то в качестве кого?

 

Перечитал два раза. Не очень понял вопрос.... "Листинг" - это вас прям на Ассемблере интересно? Или как?

 

Я в Юниксах на прикладном и системном уровне не очень силен... Я с Юниксов на IBM-PC окончательно пересел в 1988-м году...

Ссылка на комментарий
Поделиться на другие сайты

А я с позволения, как юниксоид, скажу, что вопрос топик-стартера некорректен.

На некорректный вопрос нельзя дать ответ.

Что такое автозапуск, про который вы говорите - для меня например загадка.

 

 

Если вы почитаете ту оригинальную статью на веблоге viruslist, на которую ссылается эта публикация в securitylab, и следующую за ней статью на ту же тему, то вы увидите, что ни о каких троянах для Linux речи не идет, а вредоносный код попадает на зараженные сервера, как правило по следующим причинам (цитирую веблог):

" 1. кража пароля от FTP, с помощью вредоносных программ;

2. перебор паролей от FTP, SSH по словарю;

3. проникновение через phpbb.

 

Во всех трёх случаях загрузка спам-бота сопровождалась изменением HTML-файлов и вставкой в них iframe’ов на зараженные сайты."

 

Т.е. речь идет об элементарной безалаберности и пренебрежении основными принципами компьютерной безопасности - такими как стойкие пароли, хранение их в надежном месте... Т.е. закрывать в таких случаях какие то дыры не нужно.

 

"Листинг кода" троянов, если речь идет именно о самом содержимом описанных вредоносных файлов, вам никто не даст, т.к. распространение вредоносного кода является уголовным преступлением.

Если же речь идет просто о *списке* известных на настоящее время зловредов для Linux, то этот список также не даст вам никакой информации для закрытия каких-либо дыр в сервисах и системе в целом.

Изменено пользователем hinote
  • Согласен 1
Ссылка на комментарий
Поделиться на другие сайты

На Security Lab написано следующее "Мифы о полной защищенности *nix-систем постепенно уходят в прошлое. Недавним примером уязвимости *nix-систем стали обнаруженные Лабораторией Касперского трояны Trojan-Mailfinder.Perl.Hnc.a и Trojan-Dropper.Linux.Prl.a. "

После этого прочёл http://www.viruslist.com/en/weblog статью здесь. Да, действительно, трояны не упоминаются, а упоминается "malicious programs". Получается Security Lab ввёл меня в заблуждение. Оригинальную статью прочёл трижды и не увидел информацию которую Вы, hinote, процитировали(о распространении, хотя мне это и не важно, это я знал и ранее).

На скриншотах выложеных по ссылке виден кусок кода на перле. Если в трояне не предусмотрен автоматический старт (прописываться в cron или rc.d глупо... У меня например они защищёны и о всех изменениях я узнаю сразу. Так же бесполезно менять index.html. Если надо подробности того как я это оргнанизовал - личка), то после перезагрузки сервера, троян перестанет работать и толку от этого трояна нет. Я неправильно выразился по поводу полного кода, мне нужен только тот кусок который кода котоорый отвечает за запуск и надо только для того, чтобы, если это возможно, превентивно закрыть брешь в системе.

P.S. По поводу списка брешей и троянов... Зная что распространяется можно попытаться найти как оно распространяется и, соответственно, закрыть возможность заражения.

Ссылка на комментарий
Поделиться на другие сайты

--- Статья, которую я процитировал - это вторая статья *на русском языке* в веблоге, посвященная этой теме:

http://www.viruslist.com/ru/weblog?weblogid=207758875

 

--- По поводу Trojan-Mailfinder.Perl.Hnc.a и Trojan-Dropper.Linux.Prl.a - первый это вредоносный payload (рассылка спама), второй - его запускалка.

Как я понимаю, функционал внедрения в них не входит. Я кстати не исключаю, что запускалку просто прописывают в init-скрипты...

 

Лучше бы конечно, если бы откликнулся здесь сам автор статьи Сергей Голованов, т.к. у меня лично знания об этом зловреде сейчас из таких же публичных источников, какие доступны и вам.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • Виталий__-
      Автор Виталий__-
      После обновления с новым навороченным оверлеем начались проблемы. В кратце во время звонка появляются пролаги в играх, то есть идут стальные 120 ФПС и раз в 10 секунд проседает до 90. Если выйти сразу же из звонка и посмотреть несколько минут, но пролагов нет. Именно во время звонка. Я уже все пробовал, и отключал аппаратное ускорение,отключал ОВЕРЛЕЙ (буквально все ползунки, которые там есть), и переустанавливал сотню раз, все одно и тоже. Вообще разницы нет. Решил проблему на время переходом в веб аерсию Дискорде (в браузере), несколько месяцев было все норм, а сейчас перестал работать, скорее всего ркн добрался и до моего региона. Хотя у друзей с моего же города все норм. В веб версии, когда захожу в звонок я слышу собеседника секунд 5-10, а потом все. Меня слышат, а я нет. В общем на знаю что делать
    • Дарья_Р
      Автор Дарья_Р
      Добрый вечер!
      У меня следующий вопрос о степени защите персональных данных в антивирусе.
      Дело в том, что вчера я оплачивала страховку в "Ренессанс Страхование" через Сбер ID. 
      Страховой агент прислала мне ссылку для оплаты через сайт payecom.ru    
      Я открыла эту ссылку через безопасные платежи в Microsoft Edge и оплатила.
      Платеж прошел успешно, но меня смутил тот факт, что Сбербанк мне прислал предупреждение, что я открываю Сбер ID через не через их сайт, а сторонний.
      Я как-то решила, что Ренессанс уже 30 лет на рынке и не будет воровать мои деньги, поэтому оплатила, не раздумывая. Плюс была уставшая после работы.
      Но сейчас я понимаю, что, видимо, совершила глупость.
      Т.к. Ренессанс к сайту payecom.ru прямого отношения не имеет.
      Данные карт остались внутри этой платежной системы.
      Но я оплатила через Касперского - единственная надежда, что не обчистят как липку)
      Не знаю, что теперь делать...
      Поменять Сбер  ID невозможно -  только все счета закрыть и открыть заново.
      Насколько защита в антивирусе Касперский в таких ситуациях действительно серьезно защищает?
      И имеете ли вы какую-то информацию по этому платежному сайту payecom.ru?
      Ведь Касперский собирает подобную информацию.
      Если это сомнительный сайт по вашим данным, то дайте, пожалуйста, мне знать.
      Но известная страховая компания им пользуется вовсю...
      Или мне все-таки идти в Сбербанк и там с ними разбираться?
       
       
    • sputnikk
      Автор sputnikk
      Wi-Fi запароленный, пацанов в семье нет, только девочки-школьницы. Подсоединил комп через свисток D-linк 2013 года утилитой Mediatek Wireless Utility.
       
      Я не был в интернете 5 дней. Украинцы пожгли железо местного провайдера и сети не будет ещё неделю, пришлось клянчить вай-фай у соседей, у них другой провайдер.  
      Железо Juniper, один коммутатор сейчас стоит 150к. Украинцам помогали индийцы через Австралию.
      Мобильного у меня нету.
       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Компьютерная помощь"
    • Petr02
      Автор Petr02
      Здравствуйте!

      Пошу помощи. Проник в систему и зашифровал файловый архив. Предположительно, остался сессионный ключ, т.к комп был выключен принудительно до завершения работы вируса, и больше не включался. Если есть возможность помочь, напишите пожалуйста что от меня требуется.

      Заранее спасибо. 
      txt_session_tmp.7z
       
      Сообщение от модератора Mark D. Pearlstone Перемещено из темы.
    • KL FC Bot
      Автор KL FC Bot
      Исследователи опубликовали технические детали и код, демонстрирующий эксплуатацию уязвимости (PoC) CVE-2025-6019 в библиотеке libblockdev, которая позволяет атакующему получить права root в большинстве дистрибутивов Linux. На данный момент эксплуатация этой уязвимости в реальных атаках не замечена, однако поскольку PoС опубликован, злоумышленники могут взять ее на вооружение в любой момент.
      При каких условиях эксплуатируется CVE-2025-6019?
      Библиотека libblockdev служит для низкоуровневых операций с блочными устройствами (например, с жесткими дисками) в Linux. Эксплуатации уязвимости CVE-2025-6019 происходит при обращении к демону udisks2 (служащему для управления накопителями), при условии что злоумышленникам удалось получить привилегии активного пользователя, присутствующего у компьютера (allow_active).
      Почти все современные популярные сборки Linux включают udisks — энтузиасты уже проверили возможность эксплуатации уязвимости CVE-2025-6019 на Ubuntu, Debian, Fedora и openSUSE. В теории привилегии allow_active могут быть только у пользователя, физически пользующегося компьютером. Однако по факту в арсенале атакующего могут быть средства, позволяющие получить allow_active удаленно.
      Например, нашедшие CVE-2025-6019 исследователи изначально продемонстрировали ее в цепочке эксплуатации, где права allow_active получают через еще одну уязвимость, CVE-2025-6018, которая содержится в конфигурации подключаемых модулей аутентификации (PAM). CVE-2025-6018 присутствует как минимум в openSUSE Leap 15 и SUSE Linux Enterprise 15, но может быть релевантна и для других сборок.
       
      View the full article
×
×
  • Создать...