Появился вирус-шифровальщик для Linux
20:56, 8 ноября 2015
Появился вирус-шифровальщик для Linux
Скриншот: drweb.ru
Системы на Linux атакует вредоносное приложение Linux.Encoder.1, который шифрует файлы пользователей, требуя за расшифровку заплатить криптовалютой. Об этом сообщает антивирусная компания «Доктор Веб».
Linux.Encoder.1 — относится к классу троянцев-шифровальщиков. После запуска с правами администратора на системах под управлением операционных систем семейства Linux он шифрует файлы на компьютере пользователя, после чего требует 1 биткоин за расшифровку (примерно 25 тысяч рублей на данный момент). На данный момент предполагается, что атакованы десятки пользователей.
Эксперты по безопасности полагают, что атака нацелена на администраторов сайтов, на машине которых развернут собственный веб-сервер, потому что первыми шифруются корневые папки, личные директории пользователя, а также папки с базами данных MySQL и веб-сервером Apache.
После шифрования выбранных файлов исходные стираются и пользователь получает предложение заплатить за их расшифровку. Компания утверждает, что в случае согласия владельца компьютера и оплаты выкупа вирус получает ключ для расшифровки. При этом не говорится о том, что вирус стирается с компьютера и не может вторично зашифровать файлы.
Зашифрованные файлы помечаются расширением .encrypted. При их обнаружении компания рекомендует переслать ей файлы — планируется провести их расшифровку при возможности.
Большинство вредоносных программ рассчитаны на заражение Windows-систем. Однако эксперты по безопасности регулярно фиксируют некоторое количество вредоносных программ для Linux и Mac OS.
Тут можно почитать. Занимательно…
спасибо...
Да чего занимательного-то? Функционал, который можно чуть ли не на баше реализовать, требующий рут-прав - ну, я не знаю....
По-моему чистый самопиар доктора веба. А подспудно звучит фраза: "Вам не нравится Windows 10 и вы собрались перейти на безопасный Linux? Не торопитесь, там все не так безоблачно!".
Получилась краткая выдержка из ссылки ヅ Правда чтобы зашифровать хомяк, рутправ не нужно…
Чтобы зашифровать хомяк, нужны права пользователя.
Это какой пользюк будет запускать вредоносную программу на компе? СЗЗБ?
Ну а доступ получить к нормальной машине с нормальным админом не так просто.
А хомячки.... Я вот даже не знаю...
Паранойя - лучшее решение всех проблем!
Это надо спросить у доктора веба, это его новость…
галактеко в опасносте!
вирус!!!!
Вопрос, как он попадет на машину не рассматривается?
Надежда на незалатанные машины с голой задницей в инете?
через пиратские репозитории с контрафактными пакетами же =))
ну воть, пришель и все обломаль... :-)
Вчера прочитал на 3Dnews но не стал постить, проникает вроде как подменяя ключи шифрования ssh, мне показалось очередным бредом из области фантастики.
гмм, я уже пятую версию проникновения читаю, все никак не пойму, что делать с тем, что для подмены ключа ссх (и прочих действий, включая первоначальный запуск) НЕОБХОДИМО получить сначала доступ к этой машине?
именно поэтому я и сказал что это бред)
этот доктор веб периодически находит вирусы для линукса.. Недавно уже было.. Уже не смешно даже как-то..
Отнюдь, очень даже можно поржать ヅ
Зря Вы так. Если хватит терпения прочесть три страницы на форуме PCLinuxOS. убедитесь, что это реально, особенно для любителей ВМ. На третьей странице первые попытки восстановления файлов после криптолокера.
Смотреть здесь
Хоть на всех версиях ядра и во всех основных дистрах запускается? Или облом, как всегда?
А вот не... запускать бяку из под рута. От дурака и Linux не спасет.
Из-под простого пользователя тоже не…
Собственно не в этом дело.. Только,только "разгребли".. Файловый сервер на Ubuntu, директории пользователей, дистрибутивы и программы формата *.exe для прошивки нашего "железа".. и пользователи... "только "Linux. Правда ВМ иногда для "прошивки" запускают и Word под wine, куда уж без него.. Так вот его + Picasa для просмотра "картинок" оказалось достаточно, чтобы около 1500 файлов "выбросить на помойку" при чистке "вирусняка"... Да, все верно... "ушами прохлопали",как-же Линукс, что с ним будет? Ему ничего и не стало, а вот "виндовые" программы (а все "программаторы" в основном, только под винду и пишут) потеряли...все... Занавес..
P.S. Теперь на сервере clamav, на всех ПК с Kubuntu лицензионный NOD-32...Вот такие смех..... ки.. :)
Wine настраивать пробовали? Каждое приложение в своей банке запускать можно и доступ к папкам для каждой банки настраивается.
Я тоже активно пользусь wine… Но я не знаю как подцепить вирус, если конечно клыками не баловаться…
при использовании wine подцепить вирус?
да легко. Сам лично видел, как это происходит. :-)
Не умею… ヅ
ну посмотрим...
запусти интернет эксплорер и пойди поищи с его помощью краки... :-)
сразу научишься. Правда, нет гарантии, что вирус запустится... они нынче привередливые...
Ну вот, сначала говорите, что легко, потом, что нет гарантии… ヅ Я ещё не выжил из ума, чтобы таким заниматься…
Дык, я гарантий не даю..
но ты можешь проверить...
Ну тебе же хочется сильно... :-)
Я подсказал один из наиболее быстрых путей нахождения и загрузки вируса на комп. :-)
"Ты втираешь мне какую-то дичь!"©
Должно быть строгое разделение по доступу между пользователями и регулярные автоматизированные бэкапы с их валидацией. Это универсальные рекомендации.
его имя? страна должна знать своих героев...
Заголовок подправил, а то зашел и аж сам испугался.
Новость вчера на опеннете читал. У нас как обычно, если вирус под линукс появился - то целое событие. И при этом никто их в живую не видит.
спасибо... дельно...
на опеннете разложено по полочкам в том числе, и как именно он проникал/ет на атакуемые компьютеры.
ну и ссылка на разблокировщик там тоже есть. :-)
Эх, ну вот опять. Только какая то интрига появляться стала, как тут же всё разоблачили.
ну тут по крайней мере дан ответ на вопрос - как именно он проникает на машину, что меня лично порадовало в плане ненахождения новых и неизвестных дырок в обычной машине без внешних пхп и прочих вебсервисов...
В общем да, как проникает был основной вопрос.
понятно. спасибо... и от себя: пока гром не грянет...
Понравился коментарий:
Исследователи лаборатории Bitdefender плюнули в лицо программиста из др.Веб, которые создавали этот вирус.
В др.Веб даже вирус нормальный создать не могут.
Прям даже улыбнуло)
Доктор Веб, типа, учится на ошибках. Похоже, решили создать убермегавирус. Остальные тестируют. =)
В Bitdefender конечно пользуются ситуацией для раскрутки, но всё равно молодцы, выложили дешифровальщик под gpl3.
А что им раскручиваться? У них и так защита весьма неплоха. Под оффтопиком пользуюсь. В некоторых ситуациях, когда надо, не отключишь =). Если файрволл "унюхает" угрозу - пиши исключения, не пиши - не ведется =).
Не так как у румынского спецназа? ヅ
Похоже, это еще не конец истории. Появилась новая версия шифровальщика. Пользователям из России и стран СНГ обещают расшифровать бесплатно.
Доктор Веб решил использовать маркетинговый ход.
Интересно сколько это маркетинговый ход будет длиться? Пока тестеры не устанут и не перестанут устанавливать эту штуку?
Похоже это только её начало..
Обнаружен еще один троянец для Linux
Опередил. Вот только что про него прочитал на хакере :)
Если загуглить по первому хешу (a11bda0acdb98972b3dec706d35f7fba59587f99),можно качнуть сэмпл (зареганным на malwr) за 29 сентября.Он кроссплатформенный чтоли?На скринах видно что на хрюшке запускается.
p.s.Но выполнить функции походу не удаётся.
Товарищи, ну давайте разберемся...
Во времена дикой популярности MS DOS было большое количество людей, углубленно изучающих программирование, ассемблер, структуру исполняемых файлов, библиотек и прочие низкоуровневые штуки. Среди них были амбициозные студенты, меряющиеся письками со специалистами из компаний, разрабатывающих тогдашние системы защиты и антивирусы. Были даже случаи личной неприязни и именных оскорблений.
С появлением Windows и ее страшного WinAPI (изучение которого, к слову, в айти кругах, считалось достаточно трудоемким, порядка полугода) был определенный момент времени, когда считалось, что "вирусов под Windows нет по причине сложности их написания и необходимости в обширных познаниях, имеющихся у довольно узкой группы лиц, у которых тупо нет времени заниматься херней".
Но время шло, эффективность (скорость) разработки под Windows пытались улучшить как сами MS, так и сторонние компании, типа Borland, создавая различные фреймворки и ООП-обертки для WinAPI. Порог входа в разработку под Windows уменьшался, популярность росла, количество пользователей и разработчиков тоже. Нужно говорить о том, что вместе с этим появился шквал зловредного софта?
Что в это время происходило на фронте Linux? Из-за ошибок менеджмента мелкософта (отказ поначалу поддерживать TCP/IP), они безбожно прохлопали сегмент рынка серверов, который заняли юниксы/линуксы и в котором и оставались долгое время. Вирусов и троянов, в традиционном понимании, под них не было, зато был гиперактивный поиск уязвимостей в их открытом сишном коде, где налепить ошибок, особенно неопытному человеку - раз плюнуть. Для найденных уязвимостей писались эксплоиты - программы, позволяющие любому школьнику использовать эти уязвимости и почувствовать себя какером. Время и более эффективные методы контроля кода повысили уровень безопасности и сделали подобные ситуации более редкими, но не свели на нет и вряд ли сведут.
Другой пример - MacOS, при малой популярности которой, также считалось, что вирусов под нее почти нет. Когда же она начала ее лавинообразно набирать, становясь, практически, "осью разработчиков и специалистов других творческих профессий" - все гадости также пришли, как тараканы на разбросанные крошки.
Думаю, все здесь ратовали за распространение любимой ОС, принимали посильное участие по установке кубунты знакомым и родственникам... Это, конечно, капля в море, но когда на линукс обратили внимание гиганты индустрии, такие как Valve (Steam), 1C (не смейтесь, это очень весомо для российского рынка), а также другие крупные разработчики софта, включая, кстати, MicroSoft, который скоро притащит к нам полноценный, и, безо всякого сарказма, великолепный .NET.
Популярность пришла. И да, это только начало. Хотели? Получите, распишитесь =)
В догонку: Компания Apple открыла реализацию языка Swift и реализовала поддержку Linux. Скоро, практически, каждый разработчик iOS/MacOS овладеет этим средством. И, благодаря усилиям Apple, сможет без особой подготовки и дополнительных усилий писать программы под Linux. Зловреда написать - тоже сможет =)
Tails и Tor...
И чем эта связка поможет от шифровальщика или любого другого трояна?Запустить можно всё что угодно,так что главная уязвимость,как ни банально звучит-это %username%
А по анонимусам..
Именно! Когда на линукс придет еще больше "простых пользователей", которые поленятся разбираться с пакетным менеджером и происхождением пакетов, стараясь просто загуглить название нужной программулины, и, получая ссылки на какой-нибудь мега-супер-пупер-софт-каталог.ком, будут точно так же нахватывать на свою машину всяких adware, malware и spyware в бинарном виде...
Не, такие не придут, или придут, но не надолго. Для таких ведь шило на мыло получается, и они обязательно вернутся к своему любимому с детства мылу… ヅ Да и игры, и железо потянут обратно… Нам боятся нечего.
точно )...
Думаю что к тому времени с железом и играми будет почти так же как как на "шиле" =)
...амнезия...
Отпишитесь кто поймал вируса. Шибко хочется с очевидцем пообщаться
Сомневаюсь, что очевидцы появятся, как всегда зловреду нужны админ.привилегии, а кто же ему их даст)))
Я тоже сомневаюсь, но все равно шансов больше, чем, например, встретить йети =))
Собери себе сам)
Недавно отловился один такой "вирус" на офисной машине с оффтопиком (Виндой) собственно Вот статья с описанием сей гадости лечилось простым удалением всех файлов "вируса" и восстановлением части зашифрованных документов из архива сделаного Clonzill-ой Вот статья по сей мудрёной операции . Так что бэкапы как всегда рулят !!!
Спрашивалось не про win, не к ночи будь оно помянуто
меня такой хренью не напугать. я после изучения статей так 20ти стал вручную удалять вирус conficker/kido любых модификаций , даже лучше чем любой антивирус (они удаляют только один файл dll, а сидит он еще в реестре с запретом на изменение этого ключа, в назначенных заданиях и еще в паре мест).
И Вам так же про не про win. Чур меня, чур
Я в курсе что не про винду, но после тех телодвижений что мне приходилось делать под оффтопиком для удаления вирусов , мне уже ничего не страшно.
Раскрыты подробности эксплуатации уязвимости (CVE-2015-8660) в ядре Linux, позволяющей непривилегированному локальному пользователю получить права root. Уязвимость вызвана недоработкой в коде установки прав доступа в файловой системе OverlayFS, проявляющейся при использовании пространств имён для идентификаторов пользователей (user namespaces).
Суть проблемы в том, что пользователь может при помощи технологии "user namespaces" создать изолированное окружение со своим пользователем root и примонтировать в нём часть внешней ФС через OverlayFS. Из-за ошибки в OverlayFS при изменении прав доступа в изолированном окружении, изменения также остаются в связанной с OverlayFS директории для хранения изменений (например, директория для изменений может быть создана в tmpfs и остаётся доступна извне, также доступ к ФС изолированного окружения можно получить через /proc). Таким образом, в изолированном окружении можно создать исполняемый файл с флагом suid root и выполнить его вне изолированного окружения.
Для тестирования подготовлен прототип эксплоита: halfdog.net/Security/2015/UserNamespaceOverlayfsSetuidWriteExec/UserNamespaceOverlayfsSetuidWriteExec.c
Вызвавшая уязвимость ошибка была устранена в ядре Linux в начале декабря и вошла в состав релиза ядра 4.4, но детальная информация об уязвимости обнародована только сейчас. Проблема проявляется начиная с ядра 3.18, поэтому не касается штатных ядер дистрибутивов RHEL/CentOS и Debian, но затрагивает выпуски Ubuntu 15.10 и Fedora 23 и уже устранена в опубликованных несколько дней назад обновлениях пакетов с ядром.
Следует отметить, что так как многие старые подсистемы ядра написаны без оглядки на возможности User Namespace, не исключается наличие ещё не выявленных похожих уязвимостей. Например, кроме OverlayFS подобные проблемы найдены в ptrace (CVE-2015-8709). В качестве обходного пути защиты рекомендуется отключить поддержку User Namespace в ядре (CONFIG_USER_NS=n). Проверить включена ли поддержка User Namespace можно командой "ls /proc/self/ns|grep user".
seclists.org/fulldisclosure/2016/Jan/28
Все как обычно, для того, чтобы что то сделать нужно заранее иметь логин на этой машине.
локальный пользователь.
Выявлено троянское ПО для Linux c функциями сохранения скриншотов и записи звука
Компания "Доктор Веб" сообщила о выявлении вредоносного ПО Linux.Ekoms.1, осуществляющего слежку за пользователями настольных систем на базе ядра Linux. В частности, Linux.Ekoms.1 пытается захватить конфиденциальную информацию или данные, которые можно использовать для шантажа, путём создания скриншотов каждые 30 секунд с их последующей отправкой на сервер злоумышленников.
Кроме того, Linux.Ekoms.1 поддерживает функциональность удалённого выполнения команд и загрузки на внешний сервер произвольных локальных файлов. В состав вредоносного ПО также входит код для скрытой записи звука, но данная возможность отключена по умолчанию. Взаимодействие с сервером производится с использованием шифрованного канала связи (AES, с шифрованием ключа AES при помощи открытого ключа на основе асимметричного алгоритма RSA).
После первого запуска в системе жертвы вредоносное ПО размещается под видом файлов $HOME/$DATA/.mozilla/firefox/profiled или HOME/$DATA/.dropbox/DropboxCache и отправляет сведения о новой поражённой системе на внешний сервер. Для автоматического запуска в системе вредоносное ПО создаёт файл $HOME/.config/autostart/%exename%.desktop. Так как Linux.Ekoms.1 нацелен в основном на поражение рабочих станций, размещение в системе, как правило, происходит в результате беспечного поведения пользователя, запустившего неизвестный исполняемый файл, установившего непроверенный пакет или использующего для открытия сомнительных сайтов необновлённый выпуск браузера.
(репост с опеннета)
Этот дохтур уже поднадоел конкретно: то шифровальщика найдут, то эксплуатацию уязвимости в Магенто троянцем обзовут...
Ага, найдут. Как же. Сами небось пишут и пускают новости чтоб любопытные тестили =)
Ну а кто ж ещё? Но приятно, всё-таки внимание к linux… ヅ
В принципе да, внимание. Желание обосновать коммерческий интерес, так сказать. Но метод сильно похож на травлю школьниками слабого собрата.
Аналогии не уловил…
Вот, ещё одного
написалинашли - http://news.drweb.ru/show/?i=9795&lng=ru&c=5Свежачок-с, сегодняшний!
Понравился каммент:
Так понимаю, это руководство к действию :)
Это осваивание нового рынка…
И, главное, вообще не палятся. Так и написано:
"Данная вредоносная программа, добавленная в вирусные базы Dr.Web под именем Linux.BackDoor.Xunpes.1, состоит из дроппера и собственно бэкдора, выполняющего на зараженном устройстве основные шпионские функции."
Не сигнатура вируса (!) а непосредственно сама вредоносная программа.
Отправить комментарий