Саморазмножающийся (вирусный) код на Linux

Вопрос навеян данной темой - http://linuxforum.ru/viewtopic.php?id=858
Может кто-нибудь из экспертов авторитетно с цифрами и диаграммами пояснить возможность существования вирусного кода под Linux?
В чём основная опасность существующих вирусов под Linux? Какие они используют механизмы? Может ли вирус на лету перехватить запись на диск и дописать себя к программе?

Это будет весьма интересный материал.

ИМХО, тут все упирается в права. Если некая зараза с помощью некоего эксплойта получает достаточно прав (в идеале - рута), то нет ничего невозможного в перехвате записи на диск, дописывании себя куда надо и т.п.

Даже если некая зараза, не обладает правами рута, а только юзера, то тоже мало хорошего если вдруг обнаружишь девственно чистого хомяка...

Loky написал:

Может ли вирус на лету перехватить запись на диск и дописать себя к программе?

Такая возможность, например, открывается за счет подмены ссылки /llib/libc.so.6 на что-то свое, где функции read() и write() выполняют какие-нибудь дополнительные действия. Вообще - подмена ссылок на стандартные библиотеки - широчайшее поле для вирусописателя. Ничего "дописывать в существующий файл" не надо.

Да, кстати. "Целостность" и "полнота" ссылок в /lib и /usr/lib никем стандартно не проверяется и вообще не контролируется.

Вот, кстати, потенциальная нычка для получения рута: http://www.linux.org.ru/news/security/4615914?lastmod=1267706255161

возможность существования вирусного кода под Linux может доказать не только эксперт в области информационной безопасности, а любой человек разбирающийся в методах подключения тех же модулей ядра хотя бы.
особенно остро этот вопрос стоит у пользователей Убунту, т.к. это обычно по природе своей люди с еще не искареннёными привычками офтопика и тянут в свою систему всё подряд, запуская это "всё подряд" от рута.
простейший пример: http://linuxforum.ru/viewtopic.php?id=843
этот пакет может например просто поставить вам свой libc6 или модуль ядра и творить любую непотребщину.

Переношу тему в "Разговоры обо всем" как не имеющую отношения к программированию

system-root, когда у тебя есть права админа, ты что угодно можешь поставить, какую угодно библиотеку, какой угодно модуль ведра.
Но когда нет - не можешь.

Уязвимости под линукс довольно быстро затираются, под виндовс же на них кладут... пока пара месяцев не пройдёт, не исправят. А самому залатать ещё и незаконно.
А многим (геймерам, например) просто пофик на эти уязвимости. Вот и ставят себе антивирусы, а потом жалуются, что кризис под 10-ядерным процом тормозит. :)

komcumir написал:

Даже если некая зараза, не обладает правами рута, а только юзера, то тоже мало хорошего если вдруг обнаружишь девственно чистого хомяка...

Это, конечно, можно сделать. Но практической пользы злоумышленнику от этого мало. Хотя, конечно, бывают и такие цели - стереть и затереть какую-то важную стратегически инфу. :)
Но чаще необходимо, к примеру, вызвать отказ в обслуживании (червя подкинуть), или шпионить за пользователями. Первое делают черви... но их работа затруднительно с правами юзверя на линуксе, так как любой раздел на ext2/3/4 имеет (по умолчанию) лимит записи для пользователя, умные администраторы ещё и квоту добавляют. Ну и выносят отдельно корень, отдельно хомяк, отдельно вар, и т.п...
Второе делают трояны, ну может, руткиты. :) Ну, с руткитами понятно - тут нужна модификация исполняемых файлов. Если вы ставите ПО с какой-то левого сайта, то тут никакой защиты нет. Если из реп - защищены на 99%. а уж если из исходников компилите, предварительно их прочитав доскольнально ;) ну такое редко бывает, да.
Троян не подкинешь опять же без прав... они же должны куда-то инфу отправлять незаметно, и т.п... в общем, сомневаюсь я в этом. В идеале они должны модифицировать вывод таких утилит как iptables, netstat, и т.п... иначе их легко заметить.

я всё таки имел в виду другое, возможность автоматического перехвата программой записи на диск и дописывания кода. или внедрение своего кода в область данных и т.д.
запуск программ из-под рута я не стал бы считать именно вирусной активностью.

Ну... сначала нужно использовать локальный эксплоит для повышения привилегий =). А когда привилегии повысились то можно делать, что душе угодно ;)

Loky написал:

Вопрос навеян данной темой - http://linuxforum.ru/viewtopic.php?id=858
Может кто-нибудь из экспертов авторитетно с цифрами и диаграммами пояснить возможность существования вирусного кода под Linux?
В чём основная опасность существующих вирусов под Linux? Какие они используют механизмы? Может ли вирус на лету перехватить запись на диск и дописать себя к программе?

Это будет весьма интересный материал.

Может лучше спросить у профессионалов, просидевших за разными кодами 10-летиями?
Я имею ввиду форумы wasm и cracklab`а.
Я лично не знаю. Но разраб виндуса тоже были уверены в несокрушимости свой ОС когда-то.

Flaming написал:

Это, конечно, можно сделать. Но практической пользы злоумышленнику от этого мало.

komcumir написал:

[quote=Flaming]Это, конечно, можно сделать. Но практической пользы злоумышленнику от этого мало.

gen написал:

это вы про спамблокеры? А если попробывать переключиться на другой рабстол?

А если это чудо просто шифранет ваши данные? И усе, ключик для расшифровки только после отправки смски.

stampoon написал:

[quote=gen]это вы про спамблокеры? А если попробывать переключиться на другой рабстол?

А если это чудо просто шифранет ваши данные? И усе, ключик для расшифровки только после отправки смски.[/quote]
попробывать дешифровать.
Если не получиться , то посыпать голову пеплом.
Если получиться , ходить и хвастаться всем.

Правда у 90% пользователей на компе нет ничего того что было бы очень ценным ,того ,что нельзя было бы скачать.
Многие пользователи после заражения ПК вирусом ,ОС сносят.

gen написал:

Правда у 90% пользователей на компе нет ничего того что было бы очень ценным ,того ,что нельзя было бы скачать.
Многие пользователи после заражения ПК вирусом ,ОС сносят.

Скажем, у большинства студентов на компах хранятся всевозможные наработки по учебе (курсачи там, диплом и всякоразно прочее). Многие люди на компе же хранят те же личные фото, например. Потерять все это добро - чрезвычайно нежелательно, и скачать из инета все это уже не получится. А ОС - да фиг бы с ней, ее переставить - дело нехитрое (если о десктопе говорим).

gen написал:

[quote=stampoon][quote=gen]это вы про спамблокеры? А если попробывать переключиться на другой рабстол?

А если это чудо просто шифранет ваши данные? И усе, ключик для расшифровки только после отправки смски.[/quote]
попробывать дешифровать.
Если не получиться , то посыпать голову пеплом.
Если получиться , ходить и хвастаться всем.

Правда у 90% пользователей на компе нет ничего того что было бы очень ценным ,того ,что нельзя было бы скачать.
Многие пользователи после заражения ПК вирусом ,ОС сносят.[/quote]
Поэтому фотки лучше распечатать. ИЛИ
Фаилы всякие лучше хранить на внешнем винте. Я спецом завел внешний винт, дабы не терять ничего.
Причем за всё свою жизнь я ни разу не потерял чего -то ценного,что могло бы стоит кому-то жизни, из-за вирусов(хотя вирусняков много было в винде,не считая Линукс(там хз есть ли они вообще)).
Пару раз ОС затирал, по разным причинам. А потом вспоминал ,что в такой -то папке забыл скопировть то то.
Вероятность что вы потеряете данные по своей какой то причине выше чем это сделает вирус. Вирусу ,скачаться нужно,размножиться, за это время вы увидите ,что что-то не так и удалите его.

Loky написал:

я всё таки имел в виду другое, возможность автоматического перехвата программой записи на диск и дописывания кода. или внедрение своего кода в область данных и т.д.
запуск программ из-под рута я не стал бы считать именно вирусной активностью.

легко:

$ which firefox 
/usr/bin/firefox
$ file /usr/bin/firefox 
/usr/bin/firefox: symbolic link to `/usr/lib/firefox-3.0.16/firefox'
$ file /usr/lib/firefox-3.0.16/firefox
/usr/lib/firefox-3.0.16/firefox: Bourne shell script text executable
$ sed -i '2s/.*/echo "Я злобный вирус"/' /usr/lib/firefox-3.0.16/firefox 
sed: невозможно открыть временный файл /usr/lib/firefox-3.0.16//sedujG6bB: Отказано в доступе

облом?! нет!
1) во первых, у многих ФФ установлен в домашний каталог с нужными правами (а иначе он и обновится не сможет)
2) если появляется такое сообщение (Access deny), то 99% юзеров повторят команду, только с префиксом sudo.
Вот вам и "вирус в линух". И что вы такому противопоставите?

drBatty написал:

Вот вам и "вирус в линух". И что вы такому противопоставите?

Незнание рутового пароля, например

Loky написал:

запуск программ из-под рута я не стал бы считать именно вирусной активностью.

с учетом игры по выше озвученным правилам ваш пример уже не верный.
придумайте круче, что нибудь вроде гадких скриптов в ОпенОфисе стирающих ~/ тогда поверим =)))