| ← Март 2005 → | ||||||
|
1
|
||||||
|
7
|
8
|
|||||
|
20
|
||||||
|
25
|
||||||
|
30
|
||||||
За последние 60 дней ни разу не выходила
Сайт листа:
http://kirov.lug.ru
Открыт:
15-09-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.linux.kirovlug-list@subscribe.ru
25 марта 2005 года компания "Лаборатория касперского" сообщила об
обнаружение вируса для системы Linux: Linux.Staog.
Для заражения системы пытается получить права суперпользователя, для
чего использует ошибки в программном обеспечении:
* ошибку переполнения буфера в команде mount;
* ошибку переполненения буфера в программе dip;
* уязвимость в интерпритаторе perl связанную c битом SUID.
с http://www.viruslist.com/ru/viruses/encyclopedia?virusid=21746
Другие названия
Virus.Linux.Staog ("Лаборатория Касперского") также известен как:
Linux.Staog ("Лаборатория Касперского"), Linux/Staog (McAfee),
Linux.Staog (Symantec), Linux.Staog (Doctor Web), Linux/Staog
(Sophos), Linux/Staog (RAV), ELF_STAOG (Trend Micro), Linux/Staog
(H+BEDV), Unix/Staog (FRISK), LINUX:Staog (ALWIL), Linux.Staog.A
(SOFTWIN), Linux.Staog (ClamAV), Linux/Staog (Panda), ELF/Staog.A
(Eset)
Технические детали
Staog является одним из первых вирусов написанных для операционной
системы Linux. Написан на ассемблере. Является резидентным вирусом. Для
заражения системы пытается получить права суперпользователя, для чего
использует ошибки в программном обеспечении:
* ошибку переполнения буфера в команде mount;
* ошибку переполненения буфера в программе dip;
* уязвимость в интепритаторе perl связанную c битом SUID.
После получения прав root'а изменяет права доступа к некоторым системным
файлам, в чаcтности к /dev/kmem, - файл делается доступным на чтение и
запись для любого пользователя.
После чего происходит подмена системных вызовов в таблице системных
вызовов ядра. В результате вирус получает возможность заражать все
запускаемые в системе файлы.
Вирус содержит следующие строки:
/tmp/hookup
Staog by Quantum / VLAD
/dev/kmemx/etc/mtab~
/sbin/mount
/tmp/t.dip
/bin/sh
/sbin/dip /tmp/t.dip
chatkey
/tmp/hs
#!/bin/sh
chmod 666 /dev/kmem
/tmp/hs
#!/usr/bin/suidperl -U
$ENV{PATH}="/bin:/usr/bin";
exec("chmod 666 /dev/kmem");
sys_call_table
current
kmalloc
/dev/kmem
Исходное сообщение От: "Kolotov Alexandr" <akmypo***@m*****.ru>
Кому: "comp.soft.linux.kirovlug (6590282)" <kaa@k*****.ru>
Отправлено: 28 марта 2005 г. 10:18
Тема: Linux и вирусы: началось?
Понятно что он пытается получить права суперпользователя, но непонятно каким
образом он вообще может попасть на машину...лично я бинарниками не
пользуюсь...
Kolotov Alexandr пишет:
По подробнее пожалуйста, и если можно то и URL тоже.
А лучше всего образец заразы! :)