Вредоносные программы для Unix-подобных систем

Вероятно, первые компьютерные вирусы для семейства ОС Unix были написаны Фредом Коэном в ходе проведения экспериментов. В конце 1980-х появились первые публикации с исходными текстами вирусов на языке sh.^[1][2]

Вредоносные программы под Linux

Unix-подобные системы считаются хорошо защищёнными от компьютерных вирусов^[3]. До сих пор не было ни одного широко распространённого вируса для Linux, в отличие от систем типа Microsoft Windows, это связано в том числе с системой прав доступа, отсутствием (в большинстве дистрибутивов) предустановленных сетевых служб, принимающих входящие соединения и быстрым исправлением уязвимостей Linux^[4]. Несмотря на это, вирусы потенциально могут внедриться в незащищённые системы на Linux и осуществлять вредоносную деятельность, даже, возможно, распространяться к другим системам. В Linux-системах присутствует многопользовательская среда, в которой пользователям предоставляются некоторые права, a также используется некоторая система разграничения доступа. Для того чтобы нанести существенный вред системе, вредоносная программа пытается получить root доступ к оной. Однако, пока пользователь не начнёт работу с root-привилегиями или с администраторской учетной записью, система разграничения прав не даст вирусу такой возможности. Без получения прав суперпользователя вредоносная деятельность вирусов сводится к слежению за действиями пользователя (перехвату вводимых с клавиатуры паролей, данных кредитных карт и т.д.), хищению пользовательских файлов, рассылке спама и участию в DDoS-атаках. Для получения привилегий супер-администратора, как правило, требуется либо применение эксплойтов, эксплуатирующих незакрытые уязвимости в ядре Linux или в сервисах, имеющих root-привилегии для собственной деятельности, либо методы социальной инженерии (например, попытка выдать вирус за легальное приложение, требующее административных полномочий). Эксплуатация уязвимостей затрудняется быстрым закрытием известных уязвимостей, в результате чего распространение вируса прекращается вскоре после выхода обновлений безопасности, а метод социальной инженерии мало эффективен ввиду как правило высокого технического уровня пользователей, имеющих административные полномочия. Это, в совокупности с различными способами запуска программ при запуске операционной системы в различных вариантах (дистрибутивах) Linux, приводит к тому, что найти из известных вирусов такой, чтобы он мог быть успешно запущен и мог осуществить свою вредоносную деятельность на современных дистрибутивах - задача не тривиальная. Найти среди них вирус, способный к самостоятельному распространению - практически невозможная.

Первый вирус для Linux (Bliss) появился в конце сентября 1996 года: заражённый файл был помещён в ньюс-группу alt.comp.virus и ещё некоторые. В феврале следующего года вышла исправленная версия. В октябре 1996 года в электронном журнале, посвящённом вирусам VLAD, был опубликован исходный текст вируса Staog.^[5] Ранее, в 1995 году, была опубликована книга Марка Людвига «The Giant Black Book of Computer Viruses», в которой приведены исходные тексты вирусов Snoopy для FreeBSD.^[6] Snoopy и Bliss написаны на языке Си и могут быть перенесены практически в любую UNIX-подобную операционную систему с минимальными изменениями.

Число вредоносных программ под Linux увеличилось в последние годы. В частности, за 2005 год произошло удвоение количества linux вирусов с 422 до 863^[7]. Имелись редкие случаи обнаружения вставок вредоносных программ (троянских программ) в официальных сетевых репозиториях или популярных сайтах дополнений ^[8]. Как правило, число инсталляций таких троянов измеряется сотнями или тысячами, после чего троян удаляется, а пострадавшим пользователям требуется выполнить инструкции по удалению трояна на своих компьютерах, после чего троян становится историей.

Вирусные сканеры доступны для Linux-систем. Основное их назначение - обнаружение вирусов и другого вредоносного ПО для операционных систем Windows. Они умеют проверять проходящую через них электронную почту, например, чтобы защитить компьютеры с системами Microsoft Windows, получающих почту через корпоративный почтовый сервер. Случаи обнаружения антивирусами вирусов для Linux "в живую" ("in the wild") либо не имели места, либо о них не известно.

Перечислим некоторые способы заражения. Бинарные файлы и исходные коды, полученные от сторонних репозиториев или пользователей, могут содержать вирус. Скрипты оболочки (shell scripts) после запуска могут выполнять программы и иметь доступ к файлам. Вместо специфической версии библиотеки может быть подставлена поддельная библиотека. При помощи Wine могут работать вирусы, предназначенные для Microsoft Windows (ввиду использования многими вирусами недокументированных системных вызовов Windows, которые очень плохо реализованы в Wine, риск заражения меньше). Как правило, через Wine вирусы способны жить лишь до перезапуска операционной системы, так как стандартные методы автозапуска программ в Windows не работают в Wine. Исключение - файловые вирусы, т.е. заражающие исполнимые файлы легитимных программ. Вирус снова запустится, как только пользователь запустит заражённую программу. Следует заметить, что класс файловых вирусов практически перестал существовать, уступив место троянам и бэкдорам, существующих в одном (реже в двух)экземпляре (файле) на диске, и запускающихся через стандартные (или не очень) механизмы автозапуска в Windows.

Вот список наиболее известных вирусов для Linux:

• Черви:
  • Adm
  • Adore
  • Cheese
  • Devnull
  • Kork
  • Lapper
  • Ramen worm (Англ.)
  • Linux/Lion (Англ.)
  • Mighty
  • Slapper
• Компьютерные вирусы:
  • 42^[9][10]
  • Arches^[11]
  • Alaeada
  • Binom
  • Bliss
  • Brundle
  • Coin^[12][13]
  • Dawn
  • Diesel
  • Hasher
  • Kagob
  • Lacrimae
  • Pilot
  • MetaPHOR (также известный как Simile)
  • OSF.8759
  • RST^[14]
  • Staog
  • Siilov.5916
  • Vit.4096
  • Winter
  • Winux (также известный как Lindose или PEElf)
  • ZipWorm
• Троянские программы:
  • Kaiten — Linux.Backdoor.Kaiten
  • Rexob — Linux.Backdoor.Rexob

Червь Морриса

Основная статья: Червь Морриса

В 1988 году Робертом Моррисом-младшим был создан первый массовый сетевой червь. 60 000-байтная программа разрабатывалась с расчётом на поражение операционных систем UNIX Berkeley 4.3. Вирус изначально разрабатывался как безвредный и имел целью лишь скрытно проникнуть в вычислительные системы, связанные сетью ARPANET, и остаться там необнаруженным. Вирусная программа включала компоненты, позволяющие раскрывать пароли, имеющиеся в инфицированной системе, что, в свою очередь, позволяло программе маскироваться под задачу легальных пользователей системы, на самом деле занимаясь размножением и рассылкой копий. Вирус не остался скрытым и полностью безопасным, как задумывал автор, в силу незначительных ошибок, допущенных при разработке, которые привели к стремительному неуправляемому саморазмножению вируса.

По самым скромным оценкам инцидент с червём Морриса стоил свыше 8 миллионов часов потери доступа и свыше миллиона часов прямых потерь на восстановление работоспособности систем. Общая стоимость этих затрат оценивается в 96 миллионов долларов (в эту сумму, также, не совсем обосновано, включены затраты по доработке операционной системы). Ущерб был бы гораздо больше, если бы вирус изначально создавался с разрушительными целями.

Червь Морриса поразил свыше 6200 компьютеров. В результате вирусной атаки большинство сетей вышло из строя на срок до пяти суток. Компьютеры, выполнявшие коммутационные функции, работавшие в качестве файл-серверов или выполнявшие другие функции обеспечения работы сети, также вышли из строя.

См. также

• Компьютерные вирусы
• Защита информации
• Информационная безопасность

Примечания

1. ↑ Douglas McIlroy. Virology 101
2. ↑ Tom Duff. Viral Attacks On UNIX® System Security
3. ↑ Granneman, Scott Linux vs. Windows Viruses (October 2003). Архивировано из первоисточника 27 февраля 2012. Проверено 29 июня 2009.
4. ↑ Yeargin, Ray The short life and hard times of a linux virus (July 2005). Архивировано из первоисточника 27 февраля 2012. Проверено 29 июня 2009.
5. ↑ Virus Laboratory And Distribution VLAD Magazine
6. ↑ Mark Ludwig. The Giant Black Book of Computer Viruses American Eagle Publications, Inc. 1995. ISBN 0-929408-10-1
7. ↑ Patrizio, Andy Linux Malware On The Rise (April 2006). Архивировано из первоисточника 27 февраля 2012. Проверено 29 июня 2009.
8. ↑ http://www.linuxcenter.ru/news/2002/10/09/1237/ , http://kunegin.narod.ru/ref7/troya/sposob.htm , http://www.xakep.ru/post/20379/default.asp, http://www.opennet.ru/opennews/art.shtml?num=24610
9. ↑ herm1t Linux.42: Using CRC32B (SSE4.2) instruction in polymorphic decryptor (August 2008). Архивировано из первоисточника 27 февраля 2012.
10. ↑ Ferrie, Peter [http://blogs.technet.com/mmpc/archive/2008/09/10/life-the-universe-and-everything.aspx Life, the Universe, and Everything] (September 2008). Архивировано из первоисточника 27 февраля 2012.
11. ↑ herm1t Заражение ELF-файлов с использованием выравнивания функций для Linux (August 2006). Архивировано из первоисточника 27 февраля 2012.
12. ↑ herm1t Reverse of a coin: A short note on segment alignment (October 2007). Архивировано из первоисточника 27 февраля 2012.
13. ↑ Ferrie, Peter Heads or tails? (September 2009). Архивировано из первоисточника 27 февраля 2012.
14. ↑ Virus.Linux.RST.a

Ссылки

• Linux/FreeBSD вирусы, Си, Ассемблер