DDoS-троянцы атакуют Linux
Стереотипное мнение о том, что операционные системы, построенные на базе ядра Linux, в силу особенностей своей архитектуры полностью защищены от проникновения вредоносных программ, заметно облегчает жизнь злоумышленникам, распространяющим подобное ПО. В мае 2014 года специалисты компании Доктор Веб выявили и исследовали рекордное по сравнению с предыдущими месяцами количество троянцев для ОС Linux, значительная часть которых предназначена для организации DDoS-атак.
Эти вредоносные программы объединяют общие черты: во-первых, они предназначены для организации DDoS-атак с использованием различных протоколов, а во-вторых, по косвенным признакам можно сделать вывод о том, что большинство исследованных DDoS-троянцев создано одним и тем же автором.
Так, вредоносная программа, добавленная в вирусные базы Dr.Web под именем Linux.DDoS.3, обладает достаточно широким спектром функциональных возможностей. После своего запуска троянец определяет адрес командного сервера и отправляет на него информацию об инфицированной системе, а затем ожидает получения конфигурационных данных с параметрами текущей задачи (отчет о ее выполнении также впоследствии отправляется злоумышленникам). Linux.DDoS.3 позволяет осуществлять DDoS-атаки на заданный сервер с использованием протоколов TCP/IP (TCP flood), UDP (UDP flood), а также отправляет запросы на серверы DNS для усиления эффективности атак (DNS Amplification).
Еще одна модификация данной угрозы, получившая наименование Linux.DDoS.22, ориентирована на работу с дистрибутивами Linux для процессоров ARM, а Linux.DDoS.24 способен инфицировать серверы и рабочие станции, на которых используются 32-разрядные версии Ubuntu и CentOS. Троянец Linux.DDoS.24 устанавливается в систему под именем pktmake и автоматически регистрирует себя в параметрах автозагрузки ОС. После запуска он также собирает сведения об аппаратной конфигурации инфицированного компьютера — в том числе о типе процессора и объеме памяти — и отправляет ее в зашифрованном виде на принадлежащий киберпреступникам управляющий сервер. Основное предназначение этой вредоносной программы заключается в выполнении DDoS-атак по команде с удаленного узла.
Следующая группа угроз для ОС Linux, исследованных специалистами «Доктор Веб» в текущем месяце, включает троянцев Linux.DnsAmp.1, Linux.DnsAmp.2, Linux.DnsAmp.3, Linux.DnsAmp.4 и Linux.DnsAmp.5. Некоторые вредоносные программы семейства Linux.DnsAmp используют сразу два управляющих сервера и способны инфицировать как 32-разрядные (Linux.DnsAmp.1, Linux.DnsAmp.3, Linux.DnsAmp.5), так и 64-разрядные (Linux.DnsAmp.2, Linux.DnsAmp.4) версии Linux. Подобно другим представителям данного класса DDoS-троянцев, Linux.DnsAmp регистрирует себя в автозагрузке, собирает и отправляет на удаленный сервер сведения о конфигурации инфицированной машины (версия ОС, частота процессора, объем свободной памяти и Swap-кэша, и т. д.), после чего ожидает поступления управляющих команд. Среди возможностей данного класса троянцев необходимо отметить следующие:
SYN Flood (отправка специально сформированного пакета на атакуемый узел до тех пор, пока тот не перестанет отвечать на запросы);
UDP Flood (устанавливается соединение с атакуемым узлом по протоколу UDP, после чего троянец пытается отправить жертве 1 000 сообщений);
Ping Flood (с использованием протокола ICMP формируется эхо-запрос, в котором в качестве идентификатора используется PID процесса, а данные представляют собой hex-значение 0xA1B0A1B0);
отправка запросов на серверы DNS (DNS Amplification);
отправка запросов на серверы NTP (NTP Amplification — в ранних версиях троянца функция реализована, но не используется).
Также по команде с удаленного сервера Linux.DnsAmp может записать информацию в файл журнала, повторить атаку или обновиться.
Троянцы Linux.DnsAmp.3 (для 32-разрядных версий Linux) и Linux.DnsAmp.4 (для 64-разрядных Linux-дистрибутивов) представляют собой модификации первой версии Linux.DnsAmp с предельно упрощенной системой команд. Фактически, эти реализации троянца могут выполнять только три поступающих с управляющего сервера директивы: начать DDoS-атаку, остановить атаку и записать данные в файл журнала. Следует отметить, что многие из перечисленных выше вредоносных программ используют одни и те же управляющие серверы.
Наконец, следует упомянуть о вредоносной программе для ARM-совместимых дистрибутивов Linux, получившей наименование Linux.Mrblack. Этот троянец также предназначен для выполнения DDoS-атак с использованием протоколов TCP/IP и HTTP. Он имеет довольно примитивную архитектуру и, подобно другим аналогичным угрозам, действует по команде с управляющего сервера.
Командные центры, с использованием которых осуществляется управление упомянутыми троянскими программами, располагаются преимущественно на территории Китая, и реализованные с их помощью DDoS-атаки направлены, в основном, против китайских интернет-ресурсов.
P.S. Собственно интересует мнение сообщества о данной угрозе: на сколько она актуальна и действительно ли она имеет место быть или это вброс антивирусной компании?
Источник
LinuxForum.Fans
DDoS-троянцы атакуют Linux
Автор: military
40 сообщений
1736 просмотров
🔒 закрыта
специалисты компании Доктор Веб
ага! так им за это деньги платят :) вот если бы это выяснил слесарь Вася- тогда бы была новость.
Троянцы - это не вирусы, в обычном понимании этого слова широкими массами.
Троянцы - это не вирусы, в обычном понимании этого слова широкими массами.
Согласен с вами, но вирусы о которых вы подразумеваете, принципиально не могут существовать в Linux, по крайней мере на данный момент.
Вот интересно, троянцы Linux.DDoS.24 каким образом могут установится в систему без согласия пользователя, т.е им не нужен рут доступ?
пахнет бредом, но исключать не будем.
Хотя нет пахнет бредом.
military, последний "кроссплатформенный вирус" оказался дополнением для браузера "распространяемый средствами социальной инженерии", то есть, тупо впариваемый тупому юзеру под видом каких-то ненужных ништяков. Естественно рут-права тут ни при чём, всё работало в пределах прав юзера. С АРМ-архитектурой всё проще, на мобильных устройствах у пользователя по определению права на инсталляцию ПО. Так что, это всё полная фигня и самопиар антивирусных компаний.
stranger , спасибо за ответ, но ведь есть другая разновидность трояна, как раз под серверы и рабочие станции:
Linux.DDoS.24 способен инфицировать серверы и рабочие станции, на которых используются 32-разрядные версии Ubuntu и CentOS.
Наверное нам нужен ответ лаборатории, представителя компании. *DONT_KNOW*
military, вот оно точно также и распространяется. Через левые репозитории для админа-идиота.
На чем оно написано хоть?
А-то знаем мы эти "вирусы"... Пытаешься его целенаправленно запустить (в чруте, конечно же) из познавательных целей, а оно: "Эту библиотеку мне подавай, а еще вот эту, а вон ту даунгрейдить надо, иначе не запущусь!"
Аж весь интерес пропадает.
32-разрядные версии Ubuntu и CentOS
Вот а вы мне не верили.... когда я говорил что если зловреды и появятся то в первую очередь в Ubuntu...
А вот CentOS каким боком всплыло... ведь не самый он популярный...
Как вариант и если внимательно изучить "непроверенные новости" можно понять что единственный автор (так и написано в новости) этих троянцев мог принимать участие в разработке пакетов для этих дистрибутивов. И заразить системы изнутри, а не извне.
З.Ы.
Так же то что указаны только 32-разрядные версии лишний раз доказывает что 64-x защищенней.
Троянец Linux.DDoS.24 устанавливается в систему под именем pktmake и автоматически регистрирует себя в параметрах автозагрузки ОС.
O_o
они ее запускают от root что ли.... или в трояне реализован экплоит для повышения привилегий в системе...
Так же то что указаны только 32-разрядные версии лишний раз доказывает что 64-x защищенней.
Dr.Web такой Dr.Web:
32-разрядные (Linux.DnsAmp.1, Linux.DnsAmp.3, Linux.DnsAmp.5), так и 64-разрядные (Linux.DnsAmp.2, Linux.DnsAmp.4) версии Linux.
Linux.DnsAmp.4
Группа троянских программ для ОС Linux, предназначенных для осуществления DDoS-атак. Cпособны инфицировать как 32-разрядные (Linux.DnsAmp.3), так и 64-разрядные (Linux.DnsAmp.4) версии Linux.
Фактически, данные вредоносные программы являются модификациями троянцев Linux.DnsAmp.1 и Linux.DnsAmp.2, и отличаются числом выполняемых команд.
После запуска троянец автоматически регистрирует себя в параметрах автозагрузки ОС путем модификации файла etc/rc.d/rc.local. Далее троянец создает два потока, каждый из которых выполняет аналогичные действия, но использует разные управляющие сервера.
После установки соединения с управляющим сервером троянец собирает информацию о машине, на которой запущен, в частности:
Название и версия ОС;
Объем свободной памяти и Swap-кэша;
Частота процессора;
Данные из файла dosset.dtdb, которые записываются в этот файл при получении определенной команды от управляющего сервера.
Все полученные данные отправляются на удаленный управляющий сервер, от которого троянец ожидает получения команды. Если в процессе получения команды возникает ошибка, то троянец собирает дополнительную информацию, которая также отправляется на управляющий сервер.
Источник
Вообщем жути нагоняют и никакой конкретики.
[quote="military"]32-разрядные версии Ubuntu и CentOS
Вот а вы мне не верили.... когда я говорил что если зловреды и появятся то в первую очередь в Ubuntu...
А вот CentOS каким боком всплыло... ведь не самый он популярный...[/quote]
Ну сказал же выше - малоконтролируемые левые репозитории. Никакого другого способа. Что в одной, что в другой.
После запуска троянец автоматически регистрирует себя в параметрах автозагрузки ОС путем модификации файла etc/rc.d/rc.local.
Как? Или Вы ему сами root права дали?
frost42, ну а как ещё? Вместе с установкой левого ПО. Иначе никак.
stranger, Ну так! то ли ещё будет! :D
Linux.DnsAmp.1
Ставил такой :)
Работает исключительно из-под Wine. И всё время напоминает об обязательной установке Dr.Web Server :)
Ну сказал же выше - малоконтролируемые левые репозитории. Никакого другого способа. Что в одной, что в другой.
Хорошо, тогда подскажите если не затруднит, какие по вашему репы лучше тогда юзать кроме тех что идут по дефолту с системой ? я веду речь о CentOS
lone_wolf, по моему скромному мнению, для вебсервера родных достаточно, а больше лично мне она ни за чем не нужна.
lone_wolf, по моему скромному мнению, для вебсервера родных достаточно, а больше лично мне она ни за чем не нужна.
ну насчет веб сервера... да согласен *SCRATCH*
lone_wolf, вооотъ... Тогда получается вывод: левые репы CentOS нужны кому? Ага! Вот на них малвареписатели и расчитывают.
Войдите или зарегистрируйтесь, чтобы ответить.
