Linux infection proves Windows malware monopoly is over

Link

ZDNet

As I stated in my recent article about security, Linux is just as vulnerable if not more so than any other platform. Yesterday, it was announced that a popular software package for Linux distributions contains a backdoor giving full access to execute commands as a user on the host where this software package is installed.

...

To quote the author of the forum post announcing the backdoor:

"It appears the replacement of the .tar.gz occurred in November 2009 (at least on some mirrors). It seems nobody noticed it until now."

...

This back door exploit has been out there for more than 7 months. If this isn't an indicator of the need for better malware protection on the Linux platform, I'm not sure what is. When are we going to admit that we aren't as well protected as we assume we are? What other back doors are in open source that we just haven't found yet? The number has to be greater than zero.

Potpis

This time next year we will be millionaires
- Dell Boy -

Anywayz video sam problematicnu verziju koja je update-ovana pre par dana na arch mirrorima. OGROMNA GRESKA koju su napravili dev-ovi unrealircd-a je ta sto nisu periodicno proveravali checksum tarball-a, da je to ucinjeno - sve bi bilo otkriveno na vreme. Ovako je lik hakovao server, upload-ovao svoju "izmenjenu" verziju koju su ljudi kompajlirali i ukljucili u gentoo i arch repoe. Kao sto rekoh, da se proverio md5sum - ne bi bilo frke, videlo bi se da je po tarball-u tamperovano, cak mi nije jasno i kako nisu provalili timestamp (osim ako ga 'aker nije "doterao" i na fajlu i na serveru).

Samo da ne bude zabune, ovo nije VIRUS ili nesto slicno, ovo je exploit unutar samog programa koji je sheban upstream, ne moze da se siri sam od sebe ili slicno...

Potpis

make love - !war

E, ali kad stavis ovakav naslov:

"Linux infection proves Windows malware monopoly is over"...

senzacija bato :)

Anyway, doticni paket ipak nije niti u core, niti u extra repo-u:

[srdjan@Zverko ~]$ yaourt unrealircd
1 community/unrealircd 3.2.8.1-3

Potpis

oligofrenolog

Nista je nisam shvatio.. sta se desilo?
Zamjenjen je neki tar.gz nekog programa na sajtu onoga ko je napisao taj program?

Potpis

Beneath civilization's fragile crust, cold chaos churns...

Koliko sam ja skontao zamenjen je na hakovanim mirorima.

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

Pa u community repo-u arch-a je taj program.

Mirrori se sync-uju, tako da... :)

Potpis

oligofrenolog

Vrlo moguce da su to vec ispravili, mogu da potrazim po arch bug, cek...

http://repos.archlinux.org/wsvn/community/?op=comp&compare[]=%2Funrealircd%2Ftrunk%2FPKGBUILD@14334&compare[]=%2Funrealircd%2Ftrunk%2FPKGBUILD@18710

Update-ovan je pre 3 dana a pre toga pre nekoliko meseci. Skinut je nov source ali je onaj stari bio zarazen - garant.

/edit: ma hakovan je glavni sajt a samim tim svi mirrori su se zeznuli :)

http://forums.unrealircd.com/viewtopic.php?t=6566

E sad ce da proveravaju source kao sto su trebali odavno...

Potpis

make love - !war

Na moju srecu, nesto ne koristim IRC :)

Jeste za*eb, ali bar je ograniceno na user-e...

"access to execute commands as a user on the host..."

Potpis

oligofrenolog

ma dobro, ne bi se ja sad nesto istresirao mnogo, ovo mi deluje na decije bolesti ulaska u mainstream

Evo i Dell je pun hvale Cak pise da je antivirus "unwarranted"
http://www.dell.com/content/to...;l=en&s=dhs&~ck=anavml

Potpis

Sloba je za 12 godina promenio antropološki kod srpskog naroda. On je od jednog
naroda koji je bio veseo, pomalo površan, od jednog naroda koji je bio znatiželjan, koji
je voleo da vidi, da putuje, da upozna,
od naroda koji je bio kosmopolitski napravio narod koji je namršten, mrzovoljan,
sumnjicav, zaplašen, narod koji se stalno nešto žali, kome je stalno neko kriv - Z.Đinđić

Mislim da je otvorenost koda kod Linux-a i aplikacija za njega ipak nesto
sto pravi ogromnu razliku kada je ta povezanost "ulaska u mainstream" sa kolicinom malvera u pitanju.

Uzmite, recimo samo "cenu" otkrivanja nekog malicioznog koda
kada imate pred sobom ceo source, i recimo otkrivanje takvog koda kod nekog DLL-a...

Potpis

oligofrenolog

Hm, more ne svidja mi se to ni malo, prvo onaj adobe flash i acrobat reader bug koji je po prvi put i Linux affected (al ajde to je proprietary 3rd party sw), ali ovo NE SME da se dogadja. Pa covece oni nisu ni primetili timestamp da ne odgovara nekoliko meseci. Ovo je greska unrealircd dev-ova i maintainera, neko je vec trebao da primeti to. Mada meni bre nije jasno kako nisu primetili da md5 ne odgovara joooooj... A Windows advokati su ovo jedva docekali - i to sa punim pravom sad mogu da likuju, samo sto ce naravno ovo naduvati van proporcija.

Potpis

make love - !war

Ocigledno da su "vrlo aktivno" radili na tom paketu - poslednjih 7 meseci.. :)

Potpis

oligofrenolog

Ma dobro, mozda imaju git repo gde idu patchevi itd, ali ej da ti hostujes fajl 7 meseci i da ne primetis da ti je timestamp i md5 drugaciji - to je mislim ono - idiotizam. Ponavljam ovo ovoliko zato sto cudu ne mogu da se nacudim :(

Anywayz ovo nije nista novo - teorijski je i pre bilo svakako moguce, mada to i ne mora da bude losa stvar. Sad ce se valjda svi malo dotegnuti sto se toga tice i pratiti integritet svojih arhiva...

Potpis

make love - !war

Jeste senzacija, i u pitanju je klasičan malware... Ono što je zastrašujuće je da korisnik nije kliknuo na "big_tits_and_free_taco.exe", već je malware pokupio kroz oficijalne kanale...

Ko zna koliko malware-a tu već postoji, i isti je moguće sakriti i u sam source bez da to iko provali... Bilo je i par tema ovde na ES-u o tome, a i viđao sam par studija gde se prezentovalo kako se malware kod može sakriti unutar sourace-a bez da iko išta posumnja... Tako da ni ti hashovi ni sam source nisu bog zna kakva zaštita...

Oh yes they are, nece developer sam da ugradi backdoor u svoj software, u stvari moze - al' bi nagrabusio samo tako + sto bi takav projekat bio mizerno koriscen u samom startu.

Potpis

make love - !war

Ma jeste za*eb, ali "Windows malware monopoly is over"... :)

Kako mislis da u source kodu sakrijes malware? Jedino ako podrazumevas
da neko ne zna da cita source kod, pa da nesto ne vidi, to je durga stvar.

Jel moze neki link na ovu temu - "a i viđao sam par studija gde se prezentovalo kako se malware kod može sakriti unutar sourace-a bez da iko išta posumnja"?

Nije mi jasno kako moze nesto da se "sakrije" u source-u.

Potpis

oligofrenolog

Lol, i sad - kao niko ne zna sta je unrealircd. :)

U pitanju je jedan od najzastupljenijih IRC servera. Unreal je jedinstven po svojoj fleksibilnosti i mogucnosti kastomiziranja. Po performansama ne predstavlja perjanicu ircd-ova, pa ga i ne koriste na najvecim svetskim IRC mrezama, ali je svakako najlaksi za instalaciju i prilagodjavanje zbog cega ima najveci broj instalacija medju 'malim' korisnicima.

Posto je IRC bio (a i bice u doglednoj buducnosti) centralni brlog underground kulture, ovo je sigurno bilo dokazivanje neke `akeraske grupe. Kao sto je podlegao linux, pao bi i bilo koji drugi os..

Meni je jedino zao glavnog maintainer-a, coveka koji je par godina razvio artritis na levoj ruci i uprkos operativnim zahvatima nije uspeo da se oporavi, te tako da sa velikom fizickom mukom dodaje feature i ispravlja bug-ove. Zbog ovog problema vecina vlasnika srednjih i malih IRC mreza razmatra alternative..

Slucajno ili ne, isti ovaj server opsluzuje i nasu najvecu IRC mrezu - Krstaricu :)

Pa dobro, postavlja se pitanje koliko je ovaj malware bio poznat u underground 'akeraskim :D krugovima - tj koliko je zaista iskoriscen ovaj trojanac.

Potpis

make love - !war

Naravno da moze... pogotovo u standardnom C++ gde bih mogao da pisem traktate o rezoluciji imena preklopljenih funkcija. Ovaj proces je iznenadjujuce (i iritantno) slozen..

Otvorenost sorsa, ne znaci da postoji znacajan broj ljudi koji ga citaju (ili uopste razumeju), vec da je lakse testirati softver... preporucujem Erika Rejmonda ("Cathedral and Bazaar") za bolje razumevanje Open Source razvoja... u svakom slucaju ovo nije obican malware.



Zabluda..



Vazi i obrnuto - pronalazenje ranjivosti koja ce omoguciti eksploatisanje sistema je takodje laksa kad imas pred sobom source, nego kod zatvorene binarne deljene biblioteke.

Prednost open source-a je u procesu, tj. nacinu razvoja.. ne u tome sto ce kao svako da chita kod..



Odrediti listu fajlova za koje treba vrsiti detekciju izmena je "pain in the ass". Odrzavati tu listu je jos gora muka, pogotovo ako site ima iole znacajnu dinamiku. Tripwire softer postoji skoro 30 godina, ali se retko koristi...

Osim toga, ovo ne samo da je bilo teorijski moguce i pre nego se radilo odavno.. naslo na ES je prosto senzacija koju je neki novinar pogresno povezao sa windows malware-om. Takodje verovati da ce se "svi malo dotegnuti" je zabluda :) Ja bih se pre kladio na ljudsku glupost i nemar...

Ja ne vidim sta je ovdje problem Linuxa.
Ovo je najobicnija glupost i nemar devsa. Ako sam ja dobro shvatio citavu pricu.

Potpis

Beneath civilization's fragile crust, cold chaos churns...