Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выявлен новый rootkit для Linux, осуществляющий подстановку ..., opennews (??), 21-Ноя-12, (0) [смотреть все] +1 Опять руткит, который сначала ещё поставить нужно Хм , Darth Revan (ok), 12:12 , 21-Ноя-12, (2) +3 // У RHEL _фрагментация_ версий таргетов сильно выше Киддизы одобряе стабил, Andrey Mitrofanov (?), 12:27 , 21-Ноя-12, (12) +5 // СМС надо отправлять , pavlinux (ok), 14:51 , 21-Ноя-12, (57) +8 // Он сам отправит, если оставишь телефон подключенным к компу , Аноним (-), 15:16 , 21-Ноя-12, (68) +2 Я невнимательно читал, или в статье нет подробностей 171 заражения 187 , AlexYeCu (ok), 16:12 , 21-Ноя-12, (87) +12 Кстати, в наше-то время кто-то ещё без NoScript в Сеть ходит Мдааа , Fyjybv (?), 07:41 , 22-Ноя-12, (150) –1 Поправьте, пожалуйста Было бы интересно узнать, подвержены ли более новые ядра и, DannyBoy (ok), 12:17 , 21-Ноя-12, (4) –4 // Подвержены чему Руткит это не вирус, он сам не распространяется, его устанавлив, Аноним (-), 12:25 , 21-Ноя-12, (9) +8 // да а остальные трояны и вирусы распространяются по протоколу TCP IP сами , Аноним (-), 13:08 , 21-Ноя-12, (24) –8 // Червяки например - самораспостраняются На то и червяки , Аноним (-), 16:57 , 21-Ноя-12, (101) +3 прочитайте пост с чего началась эта нить подчеркиваю его устанавливают на уже, res2500 (ok), 20:54 , 21-Ноя-12, (122) Я ответил на конкретный тезис А что там было 100500 сообщений назад - не мои пр, Аноним (-), 22:27 , 21-Ноя-12, (126) +1 травой не увлекаюсь, зашел новость почитаь и упал от смеха с написанных слов , res2500 (ok), 23:49 , 21-Ноя-12, (142) –2 Руткитов и червей полно, а вирусов нет Проблема в том, что если Вы скомпилируете, 1 (??), 05:37 , 22-Ноя-12, (149) –2 Есть http ru wikipedia org wiki Вредоносные_программы_для_Unix-подобных_систе, коксюзер (?), 09:23 , 22-Ноя-12, (151) +3 Да все там есть Только найти крайне сложно В принципе да, однако проблема в то, Аноним (-), 15:35 , 22-Ноя-12, (169) +1 На сложность написания вирусов это не влияет Для вируса, который распространяетс, коксюзер (?), 16:24 , 22-Ноя-12, (172) Судя по вашим постингам - у меня большие сомнения насчет вашей честности в этом , Аноним (-), 15:25 , 22-Ноя-12, (168) +2 Вопрос в том, кто взламывает и устанавливает Похоже на червие , Аноним (-), 14:44 , 21-Ноя-12, (53) +1 Для противодействия достаточно монтировать на серверах etc и lib в read-only , Сергей (??), 13:56 , 21-Ноя-12, (35) –2 // И после этого, никогда не обновляться , Аноним (-), 14:05 , 21-Ноя-12, (37) +2   // Наркоман man 8 mount на предмет remount а , ZloySergant (ok), 15:04 , 21-Ноя-12, (62) +2   То есть даже без аппаратной защиты от записи LOL Что мешает сделать remount сам, Аноним (-), 15:08 , 21-Ноя-12, (64) +5   Геморность реализации парирования всех заскоков админов Ушибленных админов м, Аноним (-), 16:59 , 21-Ноя-12, (102) +2   А кто вам сказал что автор руткита один , BratSinot (?), 17:48 , 21-Ноя-12, (108)   админы, у вас Чуство Собвственной Важности похоже что запредельно вы хоть пр, Xasd (ok), 18:46 , 21-Ноя-12, (115) +1   Да никакого там особого геморроя Гражданин исследующий этот экспонат пришел к в, Аноним (-), 22:39 , 21-Ноя-12, (127) –1   ладно тогда предлагаю другой алгоритм если вы так сопративляетесь -- если о, Xasd (ok), 00:48 , 22-Ноя-12, (144)   И немедленно палим свою активность и обращаем внимание на проблемы А зачем Рут, Аноним (-), 15:42 , 22-Ноя-12, (171) +2   Посмотреть в proc mounts или список разделов внутри ядра и перемонтировать дл, коксюзер (?), 09:43 , 22-Ноя-12, (152) +1   Да, ибо вариантов как и что может быть смонтировано - туева хуча А если какой-т, Аноним (-), 16:36 , 22-Ноя-12, (174) +2   Определить точку монтирования раздела, на котором лежит нужный файл, очень прост, коксюзер (?), 19:03 , 22-Ноя-12, (184) +1   gt оверквотинг удален Не позорь имя онанима, теж сказали в ядре все пути есть , away (?), 19:37 , 25-Ноя-12, (188) +1   АГА Вот так вот и будет изобретён ИИАА искусственный интелект анти-админа а т, Bvz (?), 09:39 , 23-Ноя-12, (186)   У меня даже на роутере ядро собранное без возможности загружать модули Кто став, Аноним (-), 12:19 , 21-Ноя-12, (6) –7 // RHEL CentOS Ubuntu Server , DannyBoy (ok), 12:20 , 21-Ноя-12, (7) +7 // -D этопять , Аноним (-), 12:26 , 21-Ноя-12, (11) Пффф, даже в этих дистрибутивах можно пересобрать ядро , Аноним (-), 12:30 , 21-Ноя-12, (14) –6 // Тогда ты неправильно задал первый вопрос Кто-то ещё здесь _так пересобирает ядр, Andrey Mitrofanov (?), 12:34 , 21-Ноя-12, (16) +3 Разве на роутере есть смысл собирать ядро как-то по другому , Аноним (-), 14:23 , 21-Ноя-12, (44) // Безмодульная сборка - дешевый выпендреж, не более Ни на скорость, ни на потребл, Аноним (-), 14:38 , 21-Ноя-12, (47) +4 // Да и dev kmem не отменяет, если уж начинать Помнится, когда-то иные любители на, Michael Shigorin (ok), 14:50 , 21-Ноя-12, (56) +3 На самом деле, красивая идея, только рулить этим во время работы немножко неудоб, Аноним (-), 15:05 , 21-Ноя-12, (63) –1 Можно пойти чуть дальше и законфигурить все через ядро , Аноним (-), 17:00 , 21-Ноя-12, (103) Мы говорим о безопасности Руткит грузится как модуль, а в безмодульной сборке н, Аноним (-), 16:16 , 21-Ноя-12, (88) –1 Для решения этой задачи можно не выпендриваться с пересборкой http www opennet, Аноним (-), 16:44 , 21-Ноя-12, (95) +1 Ну вот, пришел поручик Ржевский и все опошлил Теперь школьники научившиеся щ, Аноним (-), 22:41 , 21-Ноя-12, (128) +2 Какая интересная зверушка, работает хирО, это вам не винлоки Конечно, самый инт, Анонимный аноним (?), 12:23 , 21-Ноя-12, (8) –2 // Под DOS были и более хитрые штуки , Аноним (-), 12:26 , 21-Ноя-12, (10) руткит сам себя никак не распространяет советую почитать http ru wikipedia org, Аноним (-), 14:28 , 21-Ноя-12, (46) +2 // Но кто-то же должен его распространять И это больше похоже не на ручную работу,, Аноним (-), 14:42 , 21-Ноя-12, (51) +1 // Как раз это похоже на ручную работу , Аноним (-), 15:49 , 21-Ноя-12, (80) –1 Ручная работа, поражающая только конкретный софт, с ручным неправильным добавлен, Аноним (-), 15:57 , 21-Ноя-12, (83) Думается что вместе с руткитом идет нагрузка в виде червяка Иначе смысла просто, CyberDaemon (?), 10:29 , 22-Ноя-12, (160) –1 Дык это же rootkit, а где sploit что его в систему внедрить , Alukardd (?), 12:28 , 21-Ноя-12, (13) // Начни с http www debian org security 2012 и продолжай движение в сторону гори, Andrey Mitrofanov (?), 12:36 , 21-Ноя-12, (18) +4 // DSA это хорошо, а готового sploit а-то у меня нету - , Alukardd (?), 12:39 , 21-Ноя-12, (20) –1 // Большая Земля сказала, не быть тебе киддизом Преподаватель лопух Ло-пух Но , Andrey Mitrofanov (?), 12:51 , 21-Ноя-12, (21) +2 Ч-т, профессор же , Andrey Mitrofanov (?), 18:31 , 21-Ноя-12, (113) , ВовкаОсиист (ok), 00:23 , 22-Ноя-12, (143) –2 А кто сказал, что там оно есть Дебиан - не RHEL, к безопасности досаточно пофиг, Аноним (-), 14:07 , 21-Ноя-12, (38) // А кто сказал, что нет До кучи - вот еще http security-tracker debian org tra, myhand (ok), 15:11 , 21-Ноя-12, (65) Факт наличия инфицированных серваков Если бы апдейты вышли своевременно - их бы, Аноним (-), 15:14 , 21-Ноя-12, (66) –1 Ну простите, что пока Debian не умеет заменять локального администратора Мы в , myhand (ok), 15:29 , 21-Ноя-12, (75) +2 Прежде всего, он объясняется тем, что обновления безопасности надо _выпускать_ Э, Аноним (-), 15:59 , 21-Ноя-12, (84) –2 Обновления выпускаются, http security debian org Ваш КО Про ваш Как будет, myhand (ok), 16:08 , 21-Ноя-12, (85) +2 Но не все и с большим опозданием Возьмем, например, ядро http security-tracke, Аноним (-), 16:35 , 21-Ноя-12, (91) –2 Слыхал звон А теперь тыкаем случайная выборка CVE-2012-3511 - статус NEW в R, myhand (ok), 17:27 , 21-Ноя-12, (107) +2 как это 171 не заботились 187 вон, даже openssl патчили, чтобы секурность , arisu (ok), 01:03 , 24-Ноя-12, (187) Кто оно -то Ядро Новость сказала мне - под управлением Debian Squeezy с ядро, Andrey Mitrofanov (?), 18:35 , 21-Ноя-12, (114) +1 А для убунты чтото подобное есть , Аноним (-), 14:13 , 21-Ноя-12, (40) –1 // В поисковик ubuntu security совсем не вбивается ubuntu com usn, Andrey Mitrofanov (?), 20:53 , 21-Ноя-12, (121) Прикольный зверёк Проверили все etc rc local нормальные , АнониМ (?), 12:33 , 21-Ноя-12, (15) –1 // Думаю, что после выкладки на секлисте, руткит уже пропатчился на предмет выдачи , Hugo Reyes (ok), 13:23 , 21-Ноя-12, (25) // А, там уже правильный rc local отдаетсяhttp 4 bp blogspot com -c6xVri0YRjo U, Hugo Reyes (ok), 13:30 , 21-Ноя-12, (28) +1 Вы все ешё хостите сервисы на голом железе Тогда мы идем к вам PS Вроде как ст, klalafuda (?), 12:34 , 21-Ноя-12, (17) –1 // Те же контейнеры вроде как работают с тем же ядром , mee too (?), 12:52 , 21-Ноя-12, (22) +1 // Вот только они не позволяют грузить модули ядра изнутри контейнера, в котором ок, klalafuda (?), 13:00 , 21-Ноя-12, (23) –1 // Уверен, что нет 0-day сплойтов, позволяющих загрузку модулей изнутри контейнера , Hugo Reyes (ok), 13:25 , 21-Ноя-12, (27) +1 Нарисовать указанный сплойт и его целевую нагрузку перехватчик тем более долго, klalafuda (?), 13:33 , 21-Ноя-12, (30) Отлично Мы практически взломали Интернет Дело за малым - как мы будем управлят, klalafuda (?), 14:14 , 21-Ноя-12, (41) +1 Пойти к админу и попросить рута на хосте, очевидно же , Аноним (-), 14:43 , 21-Ноя-12, (52) +4 Дело даже не в том -- пусть сначала продемонстрирует хоть в каком виде загрузку , Michael Shigorin (ok), 15:28 , 21-Ноя-12, (73) –2 Товарищ видимо имел ввиду sys_module container capability bit Parallels Virtuozz, klalafuda (?), 15:52 , 21-Ноя-12, (81) +1 Да, и по дефолту в всех хостеров в здравом уме и всех остальных - никто не дает , Аноним (-), 16:50 , 21-Ноя-12, (98) В ядре бывают баги Но они бывают и много где еще Хотя тру параноик может распи, Аноним (-), 23:08 , 21-Ноя-12, (138) , а его прикрыть SELinux-ом Рукописным , Andrey Mitrofanov (?), 10:14 , 22-Ноя-12, (156) Не, возможно конечно все, но чтобы конкретно взятый руткит прошибал вообще все и, Аноним (-), 23:02 , 21-Ноя-12, (137) Товарищ, видимо, безнадёжен Продемонстрируем это на практике при помощи ALT Li, Michael Shigorin (ok), 23:29 , 21-Ноя-12, (141) Всем и каждому известно, что в линуксе нет уязвимостей Security bugs are just , коксюзер (?), 10:01 , 22-Ноя-12, (153) –1 Пардон, Берштейн тоже так считает Хоть и по иному поводу Троллинг нормальный, Аноним (-), 16:41 , 22-Ноя-12, (175) +1 Ставьте OpenBSD и спите спокойно , akamit (?), 13:34 , 21-Ноя-12, (31) –5 Почему , Анонище (?), 13:39 , 21-Ноя-12, (32) Потому что Неуловимый Джо Любая экзотическая ось хороша тем, что под ней работае, Аноним (-), 14:09 , 21-Ноя-12, (39) +9 А что, linux уже mainstream , Анонище (?), 14:23 , 21-Ноя-12, (43) –5 На серверах - да , Аноним (-), 14:39 , 21-Ноя-12, (49) +3 Есть корпорации, которые заинтересованы в том, чтоб оси на базе ядра Linux 8482, akamit (ok), 14:45 , 21-Ноя-12, (54) –6 У вас в голове каша Как связаны дырявость и цена на саппорт Дырявость - лишь п, Аноним (-), 15:03 , 21-Ноя-12, (60) +4 Хотите я вас расстрою С точки зрения простейшей логики несложно понять что чем , Аноним (-), 22:58 , 21-Ноя-12, (136) Вот только количество этих багов и последствия их эксплуатации могут серьёзно ва, коксюзер (?), 10:08 , 22-Ноя-12, (154) –1 Давно , Michael Shigorin (ok), 15:30 , 21-Ноя-12, (76) +2 С разморозкой вас Хорошо видать криокамера морозила Да, в 2012 году - он уже в, Аноним (-), 22:44 , 21-Ноя-12, (129) +2 Так почему openbsd, а не haiku, QNX, etc , Анонище (?), 15:22 , 21-Ноя-12, (69) –1 Лучше Minix Не знаю правда, умеет ли он TCP IP, но как минимум модули грузить о, Аноним (-), 22:56 , 21-Ноя-12, (135) +1 А потом спрашивают, зачем пилить своё, когда есть дебиан , Michael Shigorin (ok), 15:29 , 21-Ноя-12, (74) –1 Фрагментация дистрибутивов линукса создает проблемы авторам любого софта и малв, Аноним (-), 19:46 , 21-Ноя-12, (117) +2 Это были примеры малвари А то адоба вон рассылает уже спам с угрозами, например, Аноним (-), 22:45 , 21-Ноя-12, (130) +1 лучше уж сразу полуось ecomstation , ainanim (?), 16:29 , 21-Ноя-12, (89) –1 DOS тогда уж сразу Если среди хакеров не попадется некрофила, вы в безопасности, Аноним (-), 17:14 , 21-Ноя-12, (104) там по дефолту в работающей системе нельзя засунуть посторонний код в ядро, akamit (?), 14:24 , 21-Ноя-12, (45) –4 На самом деле, можно , Аноним (-), 14:40 , 21-Ноя-12, (50) +2 А в лине мало того что сто лет есть опция запрета вгрузки модулей, для тех кто м, Аноним (-), 16:48 , 21-Ноя-12, (97) В пику хакерам это поюзать не удастся, потому что инфраструктура модулей в ядре , коксюзер (?), 10:12 , 22-Ноя-12, (155) –1 Если ты проэксплуатировал уязвимость в ядре и можешь переколбашивать режим ядра , Аноним (-), 16:45 , 22-Ноя-12, (176) Для упрощения разработки и деплоя руткита , коксюзер (?), 18:48 , 22-Ноя-12, (183) Угу В мавзолее Все-равно она железа с гулькин нос не поддерживает , Аноним (-), 16:38 , 21-Ноя-12, (93) +2 Это миф Было даже время, когда OpenBSD поддерживала наибольшее количество WiFi-, коксюзер (?), 10:14 , 22-Ноя-12, (157) –1 Это время было Но давно прошло В пингвине нынче разработка беспроводных сетей , Аноним (-), 16:51 , 22-Ноя-12, (177) +1 Вот только модули из контейнеров в то ядро не грузятся , Michael Shigorin (ok), 14:53 , 21-Ноя-12, (58) // Да, обламается, проверено А в ядре 3 7 нынче стало можно еще и зафорсить циф, Аноним (-), 16:44 , 21-Ноя-12, (94) Только через них не получается модули ядра грузить Мелочи какие , Аноним (-), 16:45 , 21-Ноя-12, (96) Ничего страшного Просто человеческий фактор , Анонище (?), 13:32 , 21-Ноя-12, (29) –1 Классный курсовик Наконец-то показали что не перевелись ещё ядрёные программе, 1 (??), 13:50 , 21-Ноя-12, (34) +1 // Предположительно российских Досадно то, что какой-никакой талант идёт на вредн, Michael Shigorin (ok), 15:30 , 21-Ноя-12, (77) –1 // Не ругайте кузнеца, чей топор Раскольников на старушке опробовал , myhand (ok), 15:32 , 21-Ноя-12, (78) Видел этот ну или похожий по действию руткит в продаже около года назад Автор , Аноним (-), 19:51 , 21-Ноя-12, (119) +1 // Судя по тому, что эта игрушка делает - эти неадекватные деньги отобьются ифрей, Crazy Alex (ok), 21:21 , 21-Ноя-12, (124) Где можно скачать и как устанавливать , Сергей (??), 13:59 , 21-Ноя-12, (36) –1 Что характерно, автор, судя по содержимому модуля - наш соотечественник , 3cky (?), 14:22 , 21-Ноя-12, (42) +1 // Касперский , pavlinux (ok), 14:46 , 21-Ноя-12, (55) // Может все-таки Касперски PS Мягко говоря сложно представить себе Каспера, заним, klalafuda (?), 14:55 , 21-Ноя-12, (59) –2 // 1, Анонище (?), 15:25 , 21-Ноя-12, (70) –2 Этот бобик дезертировал в пиндосию, пущай там и сдохнет А у Касперского и Ко, уж, pavlinux (ok), 15:28 , 21-Ноя-12, (72) +1 Так и не понял всей важности этого ALREADY и почему это столь ключевое слово в з, klalafuda (?), 16:11 , 21-Ноя-12, (86) +3 Лекарство одно - не оставляйте сервак с дефолтными настройками chattr i etc , pavlinux (ok), 14:39 , 21-Ноя-12, (48) –3 // он не сделает chattr -i по религиозным соображением , ololo (?), 15:04 , 21-Ноя-12, (61) +2 // Обычно это делают роботы, которым естественно нужно это заложить в алгоритм , pavlinux (ok), 15:26 , 21-Ноя-12, (71) // Ну так боты нам багрепорты на мыло шлют Мы ценим пользователей наших продуктов , sdf (?), 10:31 , 22-Ноя-12, (161) –1 Шанс этого раз в 100 ниже при автоматическом взломе, т е такую фигню юзают менее, Anonim (??), 15:33 , 21-Ноя-12, (79) –1 Лучше сделай rc local директорией Во руткит лулзов словит когда файл как бы ест, Аноним (-), 16:35 , 21-Ноя-12, (92) // каталог autorun infВирусы в панике и часть антивирусов тоже , старыйвиндузятник (?), 16:56 , 21-Ноя-12, (99) Директория autorun inf на флеше в корне, klalafuda (?), 16:56 , 21-Ноя-12, (100) // Ну да, знатное западло самоходным экспонатам , Аноним (-), 17:16 , 21-Ноя-12, (105) ничего подобного последние flash-вирусы которые были на заре заката WinXP -- , Xasd (ok), 00:54 , 22-Ноя-12, (146) Ну поставить ему readonly-hidden-system Интересно, бывает ли зараза которая доп, Аноним (-), 16:54 , 22-Ноя-12, (178) отлично задавайте следующая версия руткита будет использовать crontab reboot ,, Xasd (ok), 01:03 , 22-Ноя-12, (147) FAIL , Аноним (-), 16:33 , 21-Ноя-12, (90) +1 тем не менее фигня такая есть и кавота заразила с этого момента можно считать, , Аноним (-), 17:17 , 21-Ноя-12, (106) –5 // А вас походу неграмотость заразила P , Аноним (-), 22:51 , 21-Ноя-12, (133) а какже -- открыть http localhost , Xasd (ok), 01:05 , 22-Ноя-12, (148) Весь трёп не читал, но стоит отметить факт работы web-сервера с UID 0 и GID 0 ТО, modal (?), 19:04 , 21-Ноя-12, (116) –2 // Савсем глупый, да Нигда там не написано про полномочия сервера А insmod запуск, Аноним (-), 19:48 , 21-Ноя-12, (118) Пионеры заново открывают для себя stealth технологии начала 90-х годов Не виж, ram_scan (?), 20:56 , 21-Ноя-12, (123) +1 // Всё по кругу идёт Вот интересно, как с этим бороться распознавать хотя бы н, Crazy Alex (ok), 21:25 , 21-Ноя-12, (125) // Надеяться что хостер не полный дебил Хотя в ответственных случаях лучше быть, Аноним (-), 22:48 , 21-Ноя-12, (131) Справедливости ради, я не видел вирусов вклинивающихся в TCP IP стек и дописываю, Аноним (-), 22:50 , 21-Ноя-12, (132) // Почему-то такие вещи как резалка баннеров на прозрачном прокси и наличие ip_conn, ram_scan (?), 10:31 , 22-Ноя-12, (162) +1 // Ну не ппц достижение, но достаточно оригинально , Аноним (-), 16:55 , 22-Ноя-12, (179) Мдя Интересно, какие такие Tools, Techniques, and Procedures выдали что он ру, Аноним (-), 22:55 , 21-Ноя-12, (134) // 1 Наши комменты не пишут 2 Функции, переменные и константы вида void set_jop, pavlinux (ok), 23:22 , 21-Ноя-12, (140) +1 За каждым таким вредоносом, особенно с такими далеко идущими целями, как в этом , EXTRAMISsionisT (?), 12:30 , 22-Ноя-12, (163) +1 // да ты поехавший, Reinar (ok), 15:41 , 22-Ноя-12, (170) +1 Следующее поколение ядра Linux будет с изоляцией модулей , A_n_D (ok), 13:10 , 22-Ноя-12, (164) –2 А какая тогда ось считается безопасной для web серверов, на текущее время , peering (ok), 14:17 , 22-Ноя-12, (165) –1 // IIS, Анонист (?), 14:24 , 22-Ноя-12, (166) // Особенно безопасно смотрелся недавний эксплойт гулявший в диком виде и прошибающ, Аноним (-), 16:57 , 22-Ноя-12, (180) +1 // SCTP hack protocol , Анонист (?), 19:26 , 01-Дек-12, (189) Та, вместе с которой наняли администратора Как и было всегда , myhand (ok), 14:56 , 22-Ноя-12, (167) +2 // Администраторы разные бывают Вон тут у нас несколько экспонатов по форуму ходит, Аноним (-), 16:59 , 22-Ноя-12, (181) +1 // Здравствуй, Кэптен Каким еще откровением ты жаждешь поделиться , myhand (ok), 17:52 , 22-Ноя-12, (182) 2,4,6,8,13,15,17,29,34,36,42,48,90,106,116,123,134,163,164,165

Сообщения

[Сортировка по времени | RSS]

	37. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 14:05
	> Для противодействия достаточно монтировать на серверах /etc и /lib в read-only. И после этого, никогда не обновляться.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от ZloySergant (ok), 21-Ноя-12, 15:04
	>И после этого, никогда не обновляться. Наркоман? man 8 mount на предмет remount'а.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+5 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 15:08
	> Наркоман? man 8 mount на предмет remount'а. То есть даже без аппаратной защиты от записи? LOL. Что мешает сделать remount самому руткиту, если он уже работает на уровне ядра (т.е. с максимальными полномочиями)?
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 16:59
	> ядра (т.е. с максимальными полномочиями)? Геморность реализации парирования всех заскоков админов :). Ушибленных админов много а автор руткита - один. Он задолбается AI разгребающий все подляны всех админов выписывать. Поэтому чем нестандартнее настройки - тем вероятнее что автоматизированная хренота словит былинный отказ и отползет сломав зубы.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от BratSinot (?), 21-Ноя-12, 17:48
	А кто вам сказал что автор руткита один?
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от Xasd (ok), 21-Ноя-12, 18:46
	> Геморность реализации парирования всех заскоков админов :). админы, у вас Чуство Собвственной Важности похоже что запредельно... ..вы хоть представляете себе какое огромное количество гемороя пришлось УЖЕ решить разработчиком этого руткита, для того чтобы руткит просто начал работать? решить ещё и чуть-чуть гемороя с тем чтобы просмотреть /etc/fstab и на основании него сделать remount -- это практически нет-ничего.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	127. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–1 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 22:39
	> ..вы хоть представляете себе какое огромное количество гемороя пришлось УЖЕ решить Да никакого там особого геморроя. Гражданин исследующий этот экспонат пришел к выводу что это довольно хилая поделка, автор которой очень средне знает линуксный кернель и потому сработал довольно топорно. А былинный отказ с эханием после exit 0 :) явно подтверждает лишний раз что это создано явно не супер-про высшей квалификации. > разработчиком этого руткита, для того чтобы руткит просто начал работать? Судя по всему - автору просто пришла в бошку свежая идея и он ее влобешник реализовал. Оно даже работает. Не, идея с патчингом TCP/IP чтобы прямо там вклиниваться - свежо и нахально, не отнять. Но кроме этого - ничего такого особенного. Все руткиты ведут себя похоже в плане маскировки. > решить ещё и чуть-чуть гемороя с тем чтобы просмотреть /etc/fstab и на основании > него сделать remount -- это практически нет-ничего. Проблемки только вот в чем: 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает как и где монтируется желаемый путь и его правильный и однозначный ремоунт - не сильно тривиально. 2) Это утяжелит троян и потенциально повысит его паливность. 3) Это лишь один из over 9000 фокусов которые может отколоть админ. Вероятность что админ отколет именно этот фокус а не 9000 иных - очень небольшая. 4) А что если админ оказался чуть более козел и допустим squashfs юзанул? Если уж ему хотелось глухое readonly - это можно. А теперь попробуйте заремаунтить... :)
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от Xasd (ok), 22-Ноя-12, 00:48
	> 4) А что если админ оказался чуть более козел и допустим squashfs > юзанул? Если уж ему хотелось глухое readonly - это можно. А > теперь попробуйте заремаунтить... :) ладно.. тогда предлагаю другой алгоритм (если вы так сопративляетесь!) -- если оказывается что файловая система readonly , то просто затираем /dev/md* /dev/sd* (и другие блочные устройства) из /dev/urandom ... ...в отместку! так-то! :-) ..а теперь надеюсь что вы проклянёте-всё-на-свете что сделали read-only для защиты от автоматических вторжений. :-D :-D # P.S.: и кстате да, именно автоматических! потомучто при вторжении вручную -- можно вручную (глазами, мозгом) отпарсить /etc/fstab. тоесть предполагается что вторгатель человек получил уже хоть какой-то доступ к системе, прежде чем внедрять rootkit . может украл SSH-ключ, может через PHP-инъекцию.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 15:42
	> ...в отместку! И немедленно палим свою активность и обращаем внимание на проблемы. А зачем? Руткит пихается с ровно обратной целью. > защиты от автоматических вторжений. :-D :-D Я просто перераскатаю все из бэкапов и учиню лютейший аудит на предмет того "а как это вообще стало возможно". Не говоря уж о том что аверы специально начнут расставлять специально ослабленные приманки с такой конфигурацией. Разве плохо если автоматизированные дебилы будут сами себя сдавать как стеклотару? Аверы потом снапшот откатят и им похрен, а вот ценный экспонат поймать - можно :). А вот если некто бодался с написанием такого кастомного модуля, быстро спалиться - явно не в его интересах. > # P.S.: и кстате да, именно автоматических! потомучто при вторжении вручную -- > можно вручную (глазами, мозгом) отпарсить /etc/fstab. Ну вот в этом и есть отличие между человеком и роботом. На данный момент роботы не могут проявить полную автономность и принимать произвольные по сложности решения самостоятельно. В день когда AI это наконец смогут, у нас будут намного более важные проблемы чем какие-то вшивые вирусы. > тоесть предполагается что вторгатель человек получил уже хоть какой-то доступ > к системе, прежде чем внедрять rootkit . может украл SSH-ключ, может через PHP-инъекцию. В данном случае вторгатель явно не был человеком, иначе бы он не зафэйлил с exit 0 :)
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от коксюзер (?), 22-Ноя-12, 09:43
	> Проблемки только вот в чем: > 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает > как и где монтируется желаемый путь и его правильный и однозначный > ремоунт - не сильно тривиально. Посмотреть в /proc/mounts (или список разделов внутри ядра) и перемонтировать для записи раздел, путь до точки монтирования которого является наиболее длинной частью пути до интересного файла - это разве нетривиально? > 2) Это утяжелит троян и потенциально повысит его паливность. Не утяжелит и не повысит. > 3) Это лишь один из over 9000 фокусов которые может отколоть админ. > Вероятность что админ отколет именно этот фокус а не 9000 иных > - очень небольшая. На практике никто никаких фокусов не откалывает. Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не для системных задач (обновление ПО на read-only разделе - пример такой задачи). > 4) А что если админ оказался чуть более козел и допустим squashfs > юзанул? Если уж ему хотелось глухое readonly - это можно. А > теперь попробуйте заремаунтить... :) Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов с / на read-only разделе? Риторический вопрос.
	Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

	174. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 16:36
	> до интересного файла - это разве нетривиально? Да, ибо вариантов как и что может быть смонтировано - туева хуча. А если какой-то админ начнет ивзращаться - туева хуча в квадрате. Полный парсер который ничего не сломает даже в краевых ситуациях не совсем тривиален, а если что-то отвалится, админ тут же попрется смотреть - WTF. Что явно не в интересах руткитчиков. >> 2) Это утяжелит троян и потенциально повысит его паливность. > Не утяжелит и не повысит. Всех вариантов что, откуда и как может быть замонтировано - довольно много. И все-равно на кравевых случаях проблемы будут. > На практике никто никаких фокусов не откалывает. Ну если рассчитывать на сферического админа в вакууме - да. Поэтому и упомянутый фокус никто не учитывает. Так что тем админам кто не хочет автоматизированные заразы - логично менять конфигурацию системы с дефолтов. Желательно наименее предсказуемым образом. И мониторить все это. > Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не > для системных задач (обновление ПО на read-only разделе - пример такой задачи). Обновление системы может делаться под чутким присмотром админа, опять же. Ну и вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html >> теперь попробуйте заремаунтить... :) > Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель > питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов > с / на read-only разделе? Риторический вопрос. Именно дебиан на ридонли - ну да, редкая штука. А сам я больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :)
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от коксюзер (?), 22-Ноя-12, 19:03
	>> до интересного файла - это разве нетривиально? > Да, ибо вариантов как и что может быть смонтировано - туева хуча. Определить точку монтирования раздела, на котором лежит нужный файл, очень просто. Перемонтировать с remount,rw - ещё проще. Нет тут никакой "туевой хучи" факторов. Нет. Точка. Попытайтесь уже сами представить алгоритм определения раздела и перемонтирования и попробуйте найти место, о котором можно сказать: вот здесь высока вероятность таких-то проблем. Нет там таких мест. А ваша уверенность в обратном только ставит ситуацию с головы на ноги и показывает, насколько легковерны админы, и чего на самом деле стоят их "извращения". > А если какой-то админ начнет ивзращаться - туева хуча в квадрате. > Полный парсер который ничего не сломает даже в краевых ситуациях не > совсем тривиален, а если что-то отвалится, админ тут же попрется смотреть > - WTF. Что явно не в интересах руткитчиков. Не нужен там никакой "парсер". Что он там должен парсить? Список разделов и точек монтирования? Пути до файлов? > Всех вариантов что, откуда и как может быть замонтировано - довольно много. > И все-равно на кравевых случаях проблемы будут. Вариантов очень много, но сложности в деплое руткита они не прибавляют. Перемонтировать раздел - это так же просто и очевидно, как снять атрибут immutable с конечного файла. И не многим проще, чем отключить LSM и любые MAC-системы на их базе, располагая подходящей уязвимостью в ядре. Кроме того, руткит вполне может плакаться родителю о любых провалах. Хотите поставить на то, что папе лень будет зайти на сервер, убрать препятствия, задеплоить руткит и включить обход этих препятствий в следующей версии? >> На практике никто никаких фокусов не откалывает. > Ну если рассчитывать на сферического админа в вакууме - да. Поэтому и Даже хитрые и несферические больше треплются, чем реально что-то делают. Потому что как истинные неуловимые джо привыкли мыслить на лучших случаях - надеяться на авось, иными словами. Тогда как общепринятые практики с сфере ИБ совершенно другие, и никакой тайны не составляют - было бы желание прочитать и понять. > упомянутый фокус никто не учитывает. Так что тем админам кто не Откуда вы знаете, учитывает или нет? Я видел rescue-скрипты от хостеров, которые учитывают подобные проблемы, а вы рассуждаете в глобальных категориях: "никто"... Авось никто, ага. > хочет автоматизированные заразы - логично менять конфигурацию системы с дефолтов. > Желательно наименее предсказуемым образом. И мониторить все это. Менять надо целенаправленно и с пониманием того, зачем именно производится каждое изменение. А не просто в надежде на "авось как-то помешает". > Обновление системы может делаться под чутким присмотром админа, опять же. Ну и > вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html А вы сами пробовали обновить ПО на корневом squashfs-разделе без перезагрузки системы? Этот метод создаёт гораздо больше проблем, чем решает. > Именно дебиан на ридонли - ну да, редкая штука. А сам я А знаете, почему? Система становится практически неюзабельной. А реальных результатов, помимо поводов для надежды на авось, это не даёт. Пока система работает - работает и руткит, даже если он неперсистентный, а после перезагрузки системы у взломщика есть хороший шанс проникнуть на неё повторно, до следующего перезапуска. Многие даже отдают предпочтение неперсистентным руткитам - чтобы не палить инструментарий в случае ухода машины на аудит. > больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :) Без рассмотрения конкретной ситуации не ясно, плохо это или нет. Виртуалки и контейнеры широко известны в узких кругах как хороший способ положить все яйца в одну корзину.
	Ответить | Правка | Наверх | Cообщить модератору

	188. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от away (?), 25-Ноя-12, 19:37
	>[оверквотинг удален] >> Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не >> для системных задач (обновление ПО на read-only разделе - пример такой задачи). > Обновление системы может делаться под чутким присмотром админа, опять же. Ну и > вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html >>> теперь попробуйте заремаунтить... :) >> Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель >> питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов >> с / на read-only разделе? Риторический вопрос. > Именно дебиан на ридонли - ну да, редкая штука. А сам я > больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :) Не позорь имя онанима, теж сказали в ядре все пути есть что куда примонтированно, не нужен парсер, Прикрати слушать только себя, в этом мире куча людей  "over 9000" умнее и осведщомленние чем мы с тобой вместе, хорош флудить, как не понятно такие как ты убиваю желание почтить что-то дельное. peace
	Ответить | Правка | К родителю #174 | Наверх | Cообщить модератору

	186. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от Bvz (?), 23-Ноя-12, 09:39
	АГА! Вот так вот и будет изобретён ИИАА (искусственный интелект анти-админа) а там и до простого ИИ недалеко и здравствуй сингулярность
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема