[olavsu1]

ArsTechnica kirjutab: Teadlased IT-turvafirmast Kaspersky Labs, on paljastanud eriliselt nähtamatu Troojaviiruse, mis nakatab Linux süsteeme. Seda relva on kasutatud tundliku teabe varastamiseks valitsusasutustest ja ravimifirmadest üle maailma.

Loe edasi: SIIT

[tahanteada]

[Dogbert]

Nagu ma sealt Kaspersky artiklist välja loen, siis süsteemi pesitsema jäämiseks tuleb see jubin ikkagi root õigustes käivitada - käsitsi.
Lisaks on ta staatiliselt lingitud kasutama igivanu, ilmselt turvaaukudega glibc, openssl ja libpcap teeke - võimalik et sealtkaudu saab endale kaaperdada root õigused raw socket-i loomiseks, vastasel juhul poleks raw socketi loomine root õigusteta võimalik. Root õigusteta käivitamisel on siis tegemist ajutise "serveriga", mis töötab seni kuni selle käivitanud kasutaja on süsteemi sisse loginud.

Ja ükskõik, kas seda käivitatakse siis root õigustes või mitte, igal juhul tuleb talle käsitsi ette anda võrguliidese nimi ja mingisugune Turlale omane ID kood. See tähendab, et ründaja peab ise olema juba süsteemi sisse loginud, ta peab omama seda ID-koodi ja ta käivitab seal selle rootkiti käsitsi ja sisestab parameetrid käsitsi.

Isegi kui leidub mõni masin, kus tarkvara on ammusest ajast uuendamata ja kasutatakse just täpselt neid vigaseid teeke, siis lõpuks peab masin ikkagi otse internetis olema otsapidi, et "keskusest" käske vastu võtta. NAT taga võib ta kuulata palju tahab, midagi temani ei jõua.

Kokkuvõttes - see ei ole viirus mis ise leviks, mis suvalist faili alla laadides või isegi seda käivitades masinat nakataks. Tegemist on rootkitiga, mis tuleb kasutaja poolt sihilikult käivitada ja anda talle promptis ette vajalikud parameetrid.

Rootkit ei ole Linuxi puhul midagi uut - rootkitte on tehtud enne ja tehakse tulevikus ja see siin põhineb vanal ja tuntud cd00r rootkitil. Ka rootkiti nähtamatu olek tavalistele admini töövahenditele, nagu seal nimetatud netstat ei ole midagi uut. Ainus "uus" asi näib siin siis olevat otsene seos Windowsist juba tuntud Turla autoritega. Just see oli Kaspersky-meestele üllatuseks, et Turla autorid on midagi ka Linuxi jaoks valmis nikerdanud.
Ma pole otseselt kindel, aga tõenäoliselt oleks ka selle rootkiti tegutsemine avastatav chkrootkit või rkhunter abil.

Suuremas osas on siin nähtavasti tegemist artiklite autorite veidi ebaselgest jutust tingitud valesti arusaamisega, nagu oleks tegemist mingi ennenähtamatu ohuga, mis Linuxi masinaid nakatab, nagu Windowsi viirused nakatavad Windowsi. Vaat' ei ole. See on tööriist, nagu maas vedelev suur mutrivõti. See ei karga ise kellelegi säärde ja seda saab kasutada ainult õige suurusega mutrite keeramiseks.

PS. See ei ole ei troojaviirus, ka mitte trooja ega viirus, vaid rootkit. Veel vähem on ta "toorjaviirus".

[olavsu1]

sama uudise jätkuks uus jutt...

http://arstechnica.com/security/2014/12/nation-backed-malware-targets-diplomats-iphones-androids-and-pcs/


niisis diplomaat on jälitatum inimene kui kriminaalkurjategija.

[tarmac]

Pealkirjas paistab olema trükiviga. Toorja, võiks olla vast trooja.

[tahanteada]

Mõned kokkuvõtvad netilood ja need mõlemad kirjutavad samamoodi, et varasemad, suuremad, teatud rünnakud tehti Windowsi-Turlaga ja et Linuxi-Turla on siis uus avastus ja pole teada, et kui palju on seda siis kasutatud "ründerelvana".

The Hacker News toob välja ka versiooni, et Turla-rünnakud on sooritatud Venemaalt.
Tsitaat:
The German security company G Data believed that Turla campaign is linked to Russia and has in the past exploited a variety of Windows vulnerabilities, at least two of which were zero-days, to infect government institutions, embassies, military, education, research, and pharmaceutical companies in more than 45 countries.
------------------------------
1. Powerful Linux Trojan 'Turla' Infected Large Number of Victims

http://thehackernews.com/2014/12/powerful-linux-trojan-turla.html

2. Linux-Varianten eines fortschrittlichen Trojaners für Windows entdeckt
Die Linux-Varianten basieren auf dem Trojaner Turla, den Forscher der Sicherheitsunternehmen Kaspersky Labs und Symantec im Jahresverlauf untersucht hatten.

http://www.pro-linux.de/news/1/21832/linux-varianten-eines-fortschrittlichen-trojaners-fuer-windows-entdeckt.html