11 февраля 2015, 10:30

Linux.BackDoor.Xnote.1 — «сложный многофункциональный троян» под Linux

Воинственный пингвин готов к защите
Иллюстрация с сайта Answers.Com

Российская антивирусная компания «Доктор Веб» обнаружила в сети нового трояна, ориентированного на Linux-системы и отличающегося от своих аналогов большим набором функций, — Linux.BackDoor.Xnote.1.

Вредоносная программа Linux.BackDoor.Xnote.1 распространяется в Linux-системах путем подбора пароля системного пользователя по SSH. Впрочем, для установки в систему троян требует прав суперпользователя (root). Имея администраторские права, зловред устанавливается в /bin/iptable6 (удаляя оригинальный файл) и добавляет себя в init-сценарии.

Интересно, что после установки в систему Linux.BackDoor.Xnote.1 предоставляет достаточно широкие возможности удалённым злоумышленникам: не только начинать DDoS-атаку разных видов (SYN Flood, UDP Flood, HTTP Flood и NTP Amplification) и обновлять исполняемый файл бэкдора, но и выполнять различные операции с файлами (просмотр списка, создание и удаление файлов/каталогов и т.п.), а также запускать запускать shell (с нужным окружением), SOCKS-прокси и свою реализацию portmap.

Вирусные аналитики компании «Доктор Веб» предполагают, что в создании Linux.BackDoor.Xnote.1 участвовала китайская группа хакеров ChinaZ.

Постоянная ссылка к новости: http://www.nixp.ru/news/13180.html. Дмитрий Шурупов по материалам Новости «Доктор Веб».

DrWeb, Linux, безопасность, вирусы

Комментировать (11)

shotsdv 17:01, 11 февраля 2015

Ну так рутовые пароли нормальные делайте…
Очередная пугалка для неразумных :)

Ответить Цитировать

fhunter 01:13, 12 февраля 2015

Не пароли — а запрет входа по ssh от рута и авторизацию по ключам от остальных пользователей. И вопрос будет закрыт навсегда.

Ответить Цитировать

Филипп Корвин 13:05, 12 февраля 2015

Это точно. А «вирус» из новости вообще ни о чем ;))

Ответить Цитировать

fantom_su 14:52, 12 февраля 2015

Это точно. А «вирус» из новости вообще ни о чем ;))

Зато теперь микромягкие будут кричать СМОТРИТЕ! )))

Ответить Цитировать

ave 19:41, 11 февраля 2015

Я так понял он пытается подобрать пароль root’a по ssh ? Но обычно по-умолчанию root-доступ по ssh тупо заблокирован. А если и открывать то только по ключу, а не просто по паролю.

Ответить Цитировать

fantom_su 14:53, 12 февраля 2015

Я так понял он пытается подобрать пароль root’a по ssh ? Но обычно по-умолчанию root-доступ по ssh тупо заблокирован. А если и открывать то только по ключу, а не просто по паролю.

Совершенно верно. Более того, 94% линуксоидов вообще не в курсе как дать доступ руту по ssh)

Ответить Цитировать

defender 14:40, 13 февраля 2015

Ну, вы эта, с цифрой переборщили, конечно… Че знать-то, если повальное кол-во линуксоидов так или иначе приучены маны читать. Запоминать справочные данные — это неразумно. Не, некоторые от частого их использования уже врезались в память, но это другое…

Ответить Цитировать

shotsdv 17:09, 13 февраля 2015

Да не так уж и сильно переборщили…
В Дебиане вход рута по ссх по дефолту открыт, как ни странно :)

Ответить Цитировать

defender 17:32, 13 февраля 2015

А при чем тут включенный в Дебиане логин для рута и незнание 94% линуксоидов того, как его дать? :^)…
И если уж на то пошло, то вообще хорошая практика запрещать локальный вход пользователю root. Что подразумевает отсутствие у оного пароля вообще. И в Дебиане это спрашивается во время установки.

Ответить Цитировать

shotsdv 18:01, 13 февраля 2015

А при том, что все, кто поставил Дебиан и на нём openssh и конфиги не правили имею вход рута по ссх.
Много раз ставил дебиан и без пароля рута поставить так и не смог ни разу… Вы с бубунтой не путаете, случайно?

Ответить Цитировать

defender 22:44, 13 февраля 2015

Не, не надо так меня оскорблять :D Я еще с Potato на Debian-е :D.
Не знаю, как вы ставили, но во время установки там на русском языке спрашивают «Разрешить локальный вход для root?» (ну как-то так). Если отвечаешь «нет», то он запрашивает имя пользователя/пароль и по окончанию установки добавляет этого пользователя в sudo. В результате ни по ssh, ни в терминале рутом залогиниться не получится, только «su -».
Да. И даже те, кто не правил конфиги, все еще не относятся к тем, кто не сможет дать доступ рутом чз ssh, не? Изначальная предпосылка, а с нею и цифра, именно такая была, оппонировал я именно к ней.