Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выявлен новый rootkit для Linux, осуществляющий подстановку ..., opennews (??), 21-Ноя-12, (0) [смотреть все] +1 Опять руткит, который сначала ещё поставить нужно Хм , Darth Revan (ok), 12:12 , 21-Ноя-12, (2) +3 // У RHEL _фрагментация_ версий таргетов сильно выше Киддизы одобряе стабил, Andrey Mitrofanov (?), 12:27 , 21-Ноя-12, (12) +5 // СМС надо отправлять , pavlinux (ok), 14:51 , 21-Ноя-12, (57) +8 // Он сам отправит, если оставишь телефон подключенным к компу , Аноним (-), 15:16 , 21-Ноя-12, (68) +2 Я невнимательно читал, или в статье нет подробностей 171 заражения 187 , AlexYeCu (ok), 16:12 , 21-Ноя-12, (87) +12 Кстати, в наше-то время кто-то ещё без NoScript в Сеть ходит Мдааа , Fyjybv (?), 07:41 , 22-Ноя-12, (150) –1 Поправьте, пожалуйста Было бы интересно узнать, подвержены ли более новые ядра и, DannyBoy (ok), 12:17 , 21-Ноя-12, (4) –4   // Подвержены чему Руткит это не вирус, он сам не распространяется, его устанавлив, Аноним (-), 12:25 , 21-Ноя-12, (9) +8   // да а остальные трояны и вирусы распространяются по протоколу TCP IP сами , Аноним (-), 13:08 , 21-Ноя-12, (24) –8   // Червяки например - самораспостраняются На то и червяки , Аноним (-), 16:57 , 21-Ноя-12, (101) +3   прочитайте пост с чего началась эта нить подчеркиваю его устанавливают на уже, res2500 (ok), 20:54 , 21-Ноя-12, (122)   Я ответил на конкретный тезис А что там было 100500 сообщений назад - не мои пр, Аноним (-), 22:27 , 21-Ноя-12, (126) +1   травой не увлекаюсь, зашел новость почитаь и упал от смеха с написанных слов , res2500 (ok), 23:49 , 21-Ноя-12, (142) –2   Руткитов и червей полно, а вирусов нет Проблема в том, что если Вы скомпилируете, 1 (??), 05:37 , 22-Ноя-12, (149) –2   Есть http ru wikipedia org wiki Вредоносные_программы_для_Unix-подобных_систе, коксюзер (?), 09:23 , 22-Ноя-12, (151) +3   Да все там есть Только найти крайне сложно В принципе да, однако проблема в то, Аноним (-), 15:35 , 22-Ноя-12, (169) +1   На сложность написания вирусов это не влияет Для вируса, который распространяетс, коксюзер (?), 16:24 , 22-Ноя-12, (172)   Судя по вашим постингам - у меня большие сомнения насчет вашей честности в этом , Аноним (-), 15:25 , 22-Ноя-12, (168) +2   Вопрос в том, кто взламывает и устанавливает Похоже на червие , Аноним (-), 14:44 , 21-Ноя-12, (53) +1   Для противодействия достаточно монтировать на серверах etc и lib в read-only , Сергей (??), 13:56 , 21-Ноя-12, (35) –2   // И после этого, никогда не обновляться , Аноним (-), 14:05 , 21-Ноя-12, (37) +2   // Наркоман man 8 mount на предмет remount а , ZloySergant (ok), 15:04 , 21-Ноя-12, (62) +2   То есть даже без аппаратной защиты от записи LOL Что мешает сделать remount сам, Аноним (-), 15:08 , 21-Ноя-12, (64) +5   Геморность реализации парирования всех заскоков админов Ушибленных админов м, Аноним (-), 16:59 , 21-Ноя-12, (102) +2   А кто вам сказал что автор руткита один , BratSinot (?), 17:48 , 21-Ноя-12, (108)   админы, у вас Чуство Собвственной Важности похоже что запредельно вы хоть пр, Xasd (ok), 18:46 , 21-Ноя-12, (115) +1   Да никакого там особого геморроя Гражданин исследующий этот экспонат пришел к в, Аноним (-), 22:39 , 21-Ноя-12, (127) –1   ладно тогда предлагаю другой алгоритм если вы так сопративляетесь -- если о, Xasd (ok), 00:48 , 22-Ноя-12, (144)   И немедленно палим свою активность и обращаем внимание на проблемы А зачем Рут, Аноним (-), 15:42 , 22-Ноя-12, (171) +2   Посмотреть в proc mounts или список разделов внутри ядра и перемонтировать дл, коксюзер (?), 09:43 , 22-Ноя-12, (152) +1   Да, ибо вариантов как и что может быть смонтировано - туева хуча А если какой-т, Аноним (-), 16:36 , 22-Ноя-12, (174) +2   Определить точку монтирования раздела, на котором лежит нужный файл, очень прост, коксюзер (?), 19:03 , 22-Ноя-12, (184) +1   gt оверквотинг удален Не позорь имя онанима, теж сказали в ядре все пути есть , away (?), 19:37 , 25-Ноя-12, (188) +1   АГА Вот так вот и будет изобретён ИИАА искусственный интелект анти-админа а т, Bvz (?), 09:39 , 23-Ноя-12, (186)   У меня даже на роутере ядро собранное без возможности загружать модули Кто став, Аноним (-), 12:19 , 21-Ноя-12, (6) –7 // RHEL CentOS Ubuntu Server , DannyBoy (ok), 12:20 , 21-Ноя-12, (7) +7 // -D этопять , Аноним (-), 12:26 , 21-Ноя-12, (11) Пффф, даже в этих дистрибутивах можно пересобрать ядро , Аноним (-), 12:30 , 21-Ноя-12, (14) –6 // Тогда ты неправильно задал первый вопрос Кто-то ещё здесь _так пересобирает ядр, Andrey Mitrofanov (?), 12:34 , 21-Ноя-12, (16) +3 Разве на роутере есть смысл собирать ядро как-то по другому , Аноним (-), 14:23 , 21-Ноя-12, (44) // Безмодульная сборка - дешевый выпендреж, не более Ни на скорость, ни на потребл, Аноним (-), 14:38 , 21-Ноя-12, (47) +4 // Да и dev kmem не отменяет, если уж начинать Помнится, когда-то иные любители на, Michael Shigorin (ok), 14:50 , 21-Ноя-12, (56) +3 На самом деле, красивая идея, только рулить этим во время работы немножко неудоб, Аноним (-), 15:05 , 21-Ноя-12, (63) –1 Можно пойти чуть дальше и законфигурить все через ядро , Аноним (-), 17:00 , 21-Ноя-12, (103) Мы говорим о безопасности Руткит грузится как модуль, а в безмодульной сборке н, Аноним (-), 16:16 , 21-Ноя-12, (88) –1 Для решения этой задачи можно не выпендриваться с пересборкой http www opennet, Аноним (-), 16:44 , 21-Ноя-12, (95) +1 Ну вот, пришел поручик Ржевский и все опошлил Теперь школьники научившиеся щ, Аноним (-), 22:41 , 21-Ноя-12, (128) +2 Какая интересная зверушка, работает хирО, это вам не винлоки Конечно, самый инт, Анонимный аноним (?), 12:23 , 21-Ноя-12, (8) –2 // Под DOS были и более хитрые штуки , Аноним (-), 12:26 , 21-Ноя-12, (10) руткит сам себя никак не распространяет советую почитать http ru wikipedia org, Аноним (-), 14:28 , 21-Ноя-12, (46) +2 // Но кто-то же должен его распространять И это больше похоже не на ручную работу,, Аноним (-), 14:42 , 21-Ноя-12, (51) +1 // Как раз это похоже на ручную работу , Аноним (-), 15:49 , 21-Ноя-12, (80) –1 Ручная работа, поражающая только конкретный софт, с ручным неправильным добавлен, Аноним (-), 15:57 , 21-Ноя-12, (83) Думается что вместе с руткитом идет нагрузка в виде червяка Иначе смысла просто, CyberDaemon (?), 10:29 , 22-Ноя-12, (160) –1 Дык это же rootkit, а где sploit что его в систему внедрить , Alukardd (?), 12:28 , 21-Ноя-12, (13) // Начни с http www debian org security 2012 и продолжай движение в сторону гори, Andrey Mitrofanov (?), 12:36 , 21-Ноя-12, (18) +4 // DSA это хорошо, а готового sploit а-то у меня нету - , Alukardd (?), 12:39 , 21-Ноя-12, (20) –1 // Большая Земля сказала, не быть тебе киддизом Преподаватель лопух Ло-пух Но , Andrey Mitrofanov (?), 12:51 , 21-Ноя-12, (21) +2 Ч-т, профессор же , Andrey Mitrofanov (?), 18:31 , 21-Ноя-12, (113) , ВовкаОсиист (ok), 00:23 , 22-Ноя-12, (143) –2 А кто сказал, что там оно есть Дебиан - не RHEL, к безопасности досаточно пофиг, Аноним (-), 14:07 , 21-Ноя-12, (38) // А кто сказал, что нет До кучи - вот еще http security-tracker debian org tra, myhand (ok), 15:11 , 21-Ноя-12, (65) Факт наличия инфицированных серваков Если бы апдейты вышли своевременно - их бы, Аноним (-), 15:14 , 21-Ноя-12, (66) –1 Ну простите, что пока Debian не умеет заменять локального администратора Мы в , myhand (ok), 15:29 , 21-Ноя-12, (75) +2 Прежде всего, он объясняется тем, что обновления безопасности надо _выпускать_ Э, Аноним (-), 15:59 , 21-Ноя-12, (84) –2 Обновления выпускаются, http security debian org Ваш КО Про ваш Как будет, myhand (ok), 16:08 , 21-Ноя-12, (85) +2 Но не все и с большим опозданием Возьмем, например, ядро http security-tracke, Аноним (-), 16:35 , 21-Ноя-12, (91) –2 Слыхал звон А теперь тыкаем случайная выборка CVE-2012-3511 - статус NEW в R, myhand (ok), 17:27 , 21-Ноя-12, (107) +2 как это 171 не заботились 187 вон, даже openssl патчили, чтобы секурность , arisu (ok), 01:03 , 24-Ноя-12, (187) Кто оно -то Ядро Новость сказала мне - под управлением Debian Squeezy с ядро, Andrey Mitrofanov (?), 18:35 , 21-Ноя-12, (114) +1 А для убунты чтото подобное есть , Аноним (-), 14:13 , 21-Ноя-12, (40) –1 // В поисковик ubuntu security совсем не вбивается ubuntu com usn, Andrey Mitrofanov (?), 20:53 , 21-Ноя-12, (121) Прикольный зверёк Проверили все etc rc local нормальные , АнониМ (?), 12:33 , 21-Ноя-12, (15) –1 // Думаю, что после выкладки на секлисте, руткит уже пропатчился на предмет выдачи , Hugo Reyes (ok), 13:23 , 21-Ноя-12, (25) // А, там уже правильный rc local отдаетсяhttp 4 bp blogspot com -c6xVri0YRjo U, Hugo Reyes (ok), 13:30 , 21-Ноя-12, (28) +1 Вы все ешё хостите сервисы на голом железе Тогда мы идем к вам PS Вроде как ст, klalafuda (?), 12:34 , 21-Ноя-12, (17) –1 // Те же контейнеры вроде как работают с тем же ядром , mee too (?), 12:52 , 21-Ноя-12, (22) +1 // Вот только они не позволяют грузить модули ядра изнутри контейнера, в котором ок, klalafuda (?), 13:00 , 21-Ноя-12, (23) –1 // Уверен, что нет 0-day сплойтов, позволяющих загрузку модулей изнутри контейнера , Hugo Reyes (ok), 13:25 , 21-Ноя-12, (27) +1 Нарисовать указанный сплойт и его целевую нагрузку перехватчик тем более долго, klalafuda (?), 13:33 , 21-Ноя-12, (30) Отлично Мы практически взломали Интернет Дело за малым - как мы будем управлят, klalafuda (?), 14:14 , 21-Ноя-12, (41) +1 Пойти к админу и попросить рута на хосте, очевидно же , Аноним (-), 14:43 , 21-Ноя-12, (52) +4 Дело даже не в том -- пусть сначала продемонстрирует хоть в каком виде загрузку , Michael Shigorin (ok), 15:28 , 21-Ноя-12, (73) –2 Товарищ видимо имел ввиду sys_module container capability bit Parallels Virtuozz, klalafuda (?), 15:52 , 21-Ноя-12, (81) +1 Да, и по дефолту в всех хостеров в здравом уме и всех остальных - никто не дает , Аноним (-), 16:50 , 21-Ноя-12, (98) В ядре бывают баги Но они бывают и много где еще Хотя тру параноик может распи, Аноним (-), 23:08 , 21-Ноя-12, (138) , а его прикрыть SELinux-ом Рукописным , Andrey Mitrofanov (?), 10:14 , 22-Ноя-12, (156) Не, возможно конечно все, но чтобы конкретно взятый руткит прошибал вообще все и, Аноним (-), 23:02 , 21-Ноя-12, (137) Товарищ, видимо, безнадёжен Продемонстрируем это на практике при помощи ALT Li, Michael Shigorin (ok), 23:29 , 21-Ноя-12, (141) Всем и каждому известно, что в линуксе нет уязвимостей Security bugs are just , коксюзер (?), 10:01 , 22-Ноя-12, (153) –1 Пардон, Берштейн тоже так считает Хоть и по иному поводу Троллинг нормальный, Аноним (-), 16:41 , 22-Ноя-12, (175) +1 Ставьте OpenBSD и спите спокойно , akamit (?), 13:34 , 21-Ноя-12, (31) –5 Почему , Анонище (?), 13:39 , 21-Ноя-12, (32) Потому что Неуловимый Джо Любая экзотическая ось хороша тем, что под ней работае, Аноним (-), 14:09 , 21-Ноя-12, (39) +9 А что, linux уже mainstream , Анонище (?), 14:23 , 21-Ноя-12, (43) –5 На серверах - да , Аноним (-), 14:39 , 21-Ноя-12, (49) +3 Есть корпорации, которые заинтересованы в том, чтоб оси на базе ядра Linux 8482, akamit (ok), 14:45 , 21-Ноя-12, (54) –6 У вас в голове каша Как связаны дырявость и цена на саппорт Дырявость - лишь п, Аноним (-), 15:03 , 21-Ноя-12, (60) +4 Хотите я вас расстрою С точки зрения простейшей логики несложно понять что чем , Аноним (-), 22:58 , 21-Ноя-12, (136) Вот только количество этих багов и последствия их эксплуатации могут серьёзно ва, коксюзер (?), 10:08 , 22-Ноя-12, (154) –1 Давно , Michael Shigorin (ok), 15:30 , 21-Ноя-12, (76) +2 С разморозкой вас Хорошо видать криокамера морозила Да, в 2012 году - он уже в, Аноним (-), 22:44 , 21-Ноя-12, (129) +2 Так почему openbsd, а не haiku, QNX, etc , Анонище (?), 15:22 , 21-Ноя-12, (69) –1 Лучше Minix Не знаю правда, умеет ли он TCP IP, но как минимум модули грузить о, Аноним (-), 22:56 , 21-Ноя-12, (135) +1 А потом спрашивают, зачем пилить своё, когда есть дебиан , Michael Shigorin (ok), 15:29 , 21-Ноя-12, (74) –1 Фрагментация дистрибутивов линукса создает проблемы авторам любого софта и малв, Аноним (-), 19:46 , 21-Ноя-12, (117) +2 Это были примеры малвари А то адоба вон рассылает уже спам с угрозами, например, Аноним (-), 22:45 , 21-Ноя-12, (130) +1 лучше уж сразу полуось ecomstation , ainanim (?), 16:29 , 21-Ноя-12, (89) –1 DOS тогда уж сразу Если среди хакеров не попадется некрофила, вы в безопасности, Аноним (-), 17:14 , 21-Ноя-12, (104) там по дефолту в работающей системе нельзя засунуть посторонний код в ядро, akamit (?), 14:24 , 21-Ноя-12, (45) –4 На самом деле, можно , Аноним (-), 14:40 , 21-Ноя-12, (50) +2 А в лине мало того что сто лет есть опция запрета вгрузки модулей, для тех кто м, Аноним (-), 16:48 , 21-Ноя-12, (97) В пику хакерам это поюзать не удастся, потому что инфраструктура модулей в ядре , коксюзер (?), 10:12 , 22-Ноя-12, (155) –1 Если ты проэксплуатировал уязвимость в ядре и можешь переколбашивать режим ядра , Аноним (-), 16:45 , 22-Ноя-12, (176) Для упрощения разработки и деплоя руткита , коксюзер (?), 18:48 , 22-Ноя-12, (183) Угу В мавзолее Все-равно она железа с гулькин нос не поддерживает , Аноним (-), 16:38 , 21-Ноя-12, (93) +2 Это миф Было даже время, когда OpenBSD поддерживала наибольшее количество WiFi-, коксюзер (?), 10:14 , 22-Ноя-12, (157) –1 Это время было Но давно прошло В пингвине нынче разработка беспроводных сетей , Аноним (-), 16:51 , 22-Ноя-12, (177) +1 Вот только модули из контейнеров в то ядро не грузятся , Michael Shigorin (ok), 14:53 , 21-Ноя-12, (58) // Да, обламается, проверено А в ядре 3 7 нынче стало можно еще и зафорсить циф, Аноним (-), 16:44 , 21-Ноя-12, (94) Только через них не получается модули ядра грузить Мелочи какие , Аноним (-), 16:45 , 21-Ноя-12, (96) Ничего страшного Просто человеческий фактор , Анонище (?), 13:32 , 21-Ноя-12, (29) –1 Классный курсовик Наконец-то показали что не перевелись ещё ядрёные программе, 1 (??), 13:50 , 21-Ноя-12, (34) +1 // Предположительно российских Досадно то, что какой-никакой талант идёт на вредн, Michael Shigorin (ok), 15:30 , 21-Ноя-12, (77) –1 // Не ругайте кузнеца, чей топор Раскольников на старушке опробовал , myhand (ok), 15:32 , 21-Ноя-12, (78) Видел этот ну или похожий по действию руткит в продаже около года назад Автор , Аноним (-), 19:51 , 21-Ноя-12, (119) +1 // Судя по тому, что эта игрушка делает - эти неадекватные деньги отобьются ифрей, Crazy Alex (ok), 21:21 , 21-Ноя-12, (124) Где можно скачать и как устанавливать , Сергей (??), 13:59 , 21-Ноя-12, (36) –1 Что характерно, автор, судя по содержимому модуля - наш соотечественник , 3cky (?), 14:22 , 21-Ноя-12, (42) +1 // Касперский , pavlinux (ok), 14:46 , 21-Ноя-12, (55) // Может все-таки Касперски PS Мягко говоря сложно представить себе Каспера, заним, klalafuda (?), 14:55 , 21-Ноя-12, (59) –2 // 1, Анонище (?), 15:25 , 21-Ноя-12, (70) –2 Этот бобик дезертировал в пиндосию, пущай там и сдохнет А у Касперского и Ко, уж, pavlinux (ok), 15:28 , 21-Ноя-12, (72) +1 Так и не понял всей важности этого ALREADY и почему это столь ключевое слово в з, klalafuda (?), 16:11 , 21-Ноя-12, (86) +3 Лекарство одно - не оставляйте сервак с дефолтными настройками chattr i etc , pavlinux (ok), 14:39 , 21-Ноя-12, (48) –3 // он не сделает chattr -i по религиозным соображением , ololo (?), 15:04 , 21-Ноя-12, (61) +2 // Обычно это делают роботы, которым естественно нужно это заложить в алгоритм , pavlinux (ok), 15:26 , 21-Ноя-12, (71) // Ну так боты нам багрепорты на мыло шлют Мы ценим пользователей наших продуктов , sdf (?), 10:31 , 22-Ноя-12, (161) –1 Шанс этого раз в 100 ниже при автоматическом взломе, т е такую фигню юзают менее, Anonim (??), 15:33 , 21-Ноя-12, (79) –1 Лучше сделай rc local директорией Во руткит лулзов словит когда файл как бы ест, Аноним (-), 16:35 , 21-Ноя-12, (92) // каталог autorun infВирусы в панике и часть антивирусов тоже , старыйвиндузятник (?), 16:56 , 21-Ноя-12, (99) Директория autorun inf на флеше в корне, klalafuda (?), 16:56 , 21-Ноя-12, (100) // Ну да, знатное западло самоходным экспонатам , Аноним (-), 17:16 , 21-Ноя-12, (105) ничего подобного последние flash-вирусы которые были на заре заката WinXP -- , Xasd (ok), 00:54 , 22-Ноя-12, (146) Ну поставить ему readonly-hidden-system Интересно, бывает ли зараза которая доп, Аноним (-), 16:54 , 22-Ноя-12, (178) отлично задавайте следующая версия руткита будет использовать crontab reboot ,, Xasd (ok), 01:03 , 22-Ноя-12, (147) FAIL , Аноним (-), 16:33 , 21-Ноя-12, (90) +1 тем не менее фигня такая есть и кавота заразила с этого момента можно считать, , Аноним (-), 17:17 , 21-Ноя-12, (106) –5 // А вас походу неграмотость заразила P , Аноним (-), 22:51 , 21-Ноя-12, (133) а какже -- открыть http localhost , Xasd (ok), 01:05 , 22-Ноя-12, (148) Весь трёп не читал, но стоит отметить факт работы web-сервера с UID 0 и GID 0 ТО, modal (?), 19:04 , 21-Ноя-12, (116) –2 // Савсем глупый, да Нигда там не написано про полномочия сервера А insmod запуск, Аноним (-), 19:48 , 21-Ноя-12, (118) Пионеры заново открывают для себя stealth технологии начала 90-х годов Не виж, ram_scan (?), 20:56 , 21-Ноя-12, (123) +1 // Всё по кругу идёт Вот интересно, как с этим бороться распознавать хотя бы н, Crazy Alex (ok), 21:25 , 21-Ноя-12, (125) // Надеяться что хостер не полный дебил Хотя в ответственных случаях лучше быть, Аноним (-), 22:48 , 21-Ноя-12, (131) Справедливости ради, я не видел вирусов вклинивающихся в TCP IP стек и дописываю, Аноним (-), 22:50 , 21-Ноя-12, (132) // Почему-то такие вещи как резалка баннеров на прозрачном прокси и наличие ip_conn, ram_scan (?), 10:31 , 22-Ноя-12, (162) +1 // Ну не ппц достижение, но достаточно оригинально , Аноним (-), 16:55 , 22-Ноя-12, (179) Мдя Интересно, какие такие Tools, Techniques, and Procedures выдали что он ру, Аноним (-), 22:55 , 21-Ноя-12, (134) // 1 Наши комменты не пишут 2 Функции, переменные и константы вида void set_jop, pavlinux (ok), 23:22 , 21-Ноя-12, (140) +1 За каждым таким вредоносом, особенно с такими далеко идущими целями, как в этом , EXTRAMISsionisT (?), 12:30 , 22-Ноя-12, (163) +1 // да ты поехавший, Reinar (ok), 15:41 , 22-Ноя-12, (170) +1 Следующее поколение ядра Linux будет с изоляцией модулей , A_n_D (ok), 13:10 , 22-Ноя-12, (164) –2 А какая тогда ось считается безопасной для web серверов, на текущее время , peering (ok), 14:17 , 22-Ноя-12, (165) –1 // IIS, Анонист (?), 14:24 , 22-Ноя-12, (166) // Особенно безопасно смотрелся недавний эксплойт гулявший в диком виде и прошибающ, Аноним (-), 16:57 , 22-Ноя-12, (180) +1 // SCTP hack protocol , Анонист (?), 19:26 , 01-Дек-12, (189) Та, вместе с которой наняли администратора Как и было всегда , myhand (ok), 14:56 , 22-Ноя-12, (167) +2 // Администраторы разные бывают Вон тут у нас несколько экспонатов по форуму ходит, Аноним (-), 16:59 , 22-Ноя-12, (181) +1 // Здравствуй, Кэптен Каким еще откровением ты жаждешь поделиться , myhand (ok), 17:52 , 22-Ноя-12, (182) 2,4,6,8,13,15,17,29,34,36,42,48,90,106,116,123,134,163,164,165

Сообщения

[Сортировка по времени | RSS]

4. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–4 +/–
Сообщение от DannyBoy (ok), 21-Ноя-12, 12:17
>а для как начальная попытка создания ещё одного средства для распространения вредоносного ПО. Поправьте, пожалуйста. Было бы интересно узнать, подвержены ли более новые ядра и что можно сделать для противодействия?
Ответить | Правка | Наверх | Cообщить модератору

	9. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+8 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 12:25
	Подвержены чему? Руткит это не вирус, он сам не распространяется, его устанавливают на уже взломанную систему.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–8 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 13:08
	да а остальные трояны и вирусы распространяются по протоколу TCP\IP сами ))))
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+3 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 16:57
	> да а остальные трояны и вирусы распространяются по протоколу TCP\IP сами )))) Червяки например - самораспостраняются. На то и червяки.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от res2500 (ok), 21-Ноя-12, 20:54
	>> да а остальные трояны и вирусы распространяются по протоколу TCP\IP сами )))) > Червяки например - само распространяются. На то и червяки. прочитайте пост с чего началась эта нить: > руткит это не вирус, он сам не распространяется, его устанавливают на уже взломанную систему. подчеркиваю: > его устанавливают на уже взломанную систему. то есть если кто то ставит линукс и там сработал руткит через некоторое время, за незакрытой или неизвестной разрабам дистрибутива уязвимости, то админ установил уже взломанную систему как сервер ? руткит может сам не размножатся, но ведь админу пришли жалобы от клиентов сервера, тут уже зависит от того, кто писал и для чего и что было дальше в том рутките, но как всегда луноходы все будут отрицать, на хакере даже пишут что ничего нету, новость обман, а Омские линуксоиды одобряют ?
	Ответить | Правка | Наверх | Cообщить модератору

	126. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 22:27
	>> Червяки например - само распространяются. На то и червяки. > прочитайте пост с чего началась эта нить: Я ответил на конкретный тезис. А что там было 100500 сообщений назад - не мои проблемы. > подчеркиваю: > его устанавливают на уже взломанную систему. Спасибо, Капитан. Вот только врядли живой установщик был таким дeбилом что наэхал сам в файл строку которая ничего не делает. Потому и вспомнили про червяков. > установил уже взломанную систему как сервер ? Хороший в этом году урожай травы походу. > но как всегда лyноходы все будут отрицать, на хакере даже пишут что ничего нету, новость > обман, а Омские линуксоиды одобряют ? Это уже становится интереснее. В деле уже появились лyноходы и омские линуксоиды. С нетерпением ждем новых действующих персонажей :). Ах да, судя по упоротости и странным претензиям, res2500 наверное BSDшник. Это же элементарно, Ватсон! :)
	Ответить | Правка | Наверх | Cообщить модератору

	142. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–2 +/–
	Сообщение от res2500 (ok), 21-Ноя-12, 23:49
	травой не увлекаюсь, зашел новость почитаь и упал от смеха с написанных слов > его устанавливают на уже взломанную систему. ))))))))))))) > Ах да, судя по упоротости и странным претензиям, res2500 наверное BSDшник. и не только, использую что мне нравитс, еше в 2009 году, на одном из сайтов ру нета был участником холивара, где писали что под линукс вирусов и вредоносов нету и это супер защищенная система ))))
	Ответить | Правка | Наверх | Cообщить модератору

	149. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–2 +/–
	Сообщение от 1 (??), 22-Ноя-12, 05:37
	Руткитов и червей полно, а вирусов нет. Проблема в том, что если Вы скомпилируете бинарник на своей машине и пришлете мне, я его не смогу запустить. А вирусы размножаются путем заражения файлов, что при бинарной несовместимости и существующем либхелле крайне затруднительно. Если думаете иначе, то пишите и вперед за премией Майкрософта. 10000уе на дороге не валяются. Все кричат, что на линуксе полно вирусов, только премию так никто и не забрал. Но вот появление таких вещей как системд и обсуждение единого формата распространения по - первый шаг к созданию бинарной совместимости. А там и до обычных вирусов рукой подать.
	Ответить | Правка | Наверх | Cообщить модератору

	151. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+3 +/–
	Сообщение от коксюзер (?), 22-Ноя-12, 09:23
	> Руткитов и червей полно, а вирусов нет. Есть: http://ru.wikipedia.org/wiki/Вредоносные_программы_для_Unix-подобных_систем > Проблема в том, что если Вы скомпилируете бинарник на своей машине и > пришлете мне, я его не смогу запустить. А вирусы размножаются путем Бинарник может быть слинкован статически или не иметь нетривиальных зависимостей. > заражения файлов, что при бинарной несовместимости и существующем либхелле крайне затруднительно. Нет ничего затруднительного в том, чтобы вписать себя в ELF-файл - точно так же вирусы пишут себя в PE-файлы, несмотря на их разнообразие. > Если думаете иначе, то пишите и вперед за премией Майкрософта. 10000уе > на дороге не валяются. http://linux.slashdot.org/story/01/10/13/1346243/10000-prize... - вы об этом? Там говорится о заражении правильно сконфигурированной машины с линуксом - то есть, системы, на которую в том числе установлены все актуальные обновления безопасности. Раз так, для заражения нужно сперва найти 0day уязвимости в установленном ПО и написать для них reliable эксплойты. При этом за одну только уявзимость с эксплойтом для браузера можно выручить в сумме 20000 плюс макбук, почитайте здесь: http://en.wikipedia.org/wiki/Pwn2Own#Outcome_3 > Все кричат, что на линуксе полно вирусов, только премию так никто и > не забрал. Возможно, потому что стоимость работ по факту существенно выше 10000 фунтов. > Но вот появление таких вещей как системд и обсуждение единого формата распространения > по - первый шаг к созданию бинарной совместимости. А там и > до обычных вирусов рукой подать. Вирусам не нужна бинарная совместимость на уровне зависимостей, скриптов запуска служб и т.п.
	Ответить | Правка | Наверх | Cообщить модератору

	169. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 15:35
	> Есть: http://ru.wikipedia.org/wiki/Вредоносные_программы_для_Unix-подобных_систем Да все там есть. Только найти крайне сложно. > Нет ничего затруднительного в том, чтобы вписать себя в ELF-файл - точно > так же вирусы пишут себя в PE-файлы, несмотря на их разнообразие. В принципе да, однако проблема в том что линуксоиды чаще всего апдейтят весь софт и либы системным апдейтером + качают оный только из доверяемых репов. А чтобы слитый файл запустился - его надо пометить исполняемым. Что делает нечаянный запуск или запуск дебилом за монитором менее вероятным сценарием. По поводу чего механизмов для самоходного распостранения как-то сильно меньше получается. Ну то-есть оно в принципе возможно но на практике - весьма редко и юзаются в основном методы "на дурака" - тыринг ключей или попытки подобрать слабые пароли. >> Все кричат, что на линуксе полно вирусов, только премию так никто и не забрал. > Возможно, потому что стоимость работ по факту существенно выше 10000 фунтов. Ну так это выступает изрядной планкой против атакующих. Это хорошо. > Вирусам не нужна бинарная совместимость на уровне зависимостей, скриптов запуска служб и т.п. Все так. Просто для них нет какой-то особо благодатной почвы которая бы позволила им стать простыми и массовыми.
	Ответить | Правка | Наверх | Cообщить модератору

	172. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от коксюзер (?), 22-Ноя-12, 16:24
	> Да все там есть. Только найти крайне сложно. На сложность написания вирусов это не влияет. > В принципе да, однако проблема в том что линуксоиды чаще всего апдейтят > весь софт и либы системным апдейтером + качают оный только из > доверяемых репов. А чтобы слитый файл запустился - его надо пометить > исполняемым. Что делает нечаянный запуск или запуск дебилом за монитором менее > вероятным сценарием. По поводу чего механизмов для самоходного распостранения > как-то сильно  меньше получается. Для вируса, который распространяется через 0day-уязвимости, это не проблема. Поверхность атаки довольно широка: браузер и плагины к нему, почтовый клиент, офисный пакет, IM-клиенты, библиотеки для работы с файлами изображений и т.д.. Эксплуатация уязвимостей в этих компонентах даже под виндой - гораздо более частое и массовое явление, чем ручной запуск троянцев, даже несмотря на объёмы вареза и кряков/кейгенов, потребляемого массами. Проблема (для вирусописателей) с репами кроется в другом: регулярные и довольно оперативные обновления софта, включая весь вышеперечисленный. Под виндой со сравнимой оперативностью обновляются разве что базы антивирусов. ;) На этом вся существенная "более безопасность" линукса по сравнению с виндой заканчивается: если написание свежего вируса или эксплойта для получения какой-нибудь премии ещё может иметь смысл, то рассчитывать на массовые заражения, используя один и тот же вектор - бесполезно. Большинство уязвимых пользователей с высокой вероятностью получат обновления уязвимого ПО до столкновения с вирусом. Именно это, если отбросить скромный процент присутствия линукса на десктопах, делает вирусописание под линукс невыгодным, а вовсе не преувеличенная неоднородность среды распространения. >> Возможно, потому что стоимость работ по факту существенно выше 10000 фунтов. > Ну так это выступает изрядной планкой против атакующих. Это хорошо. Вы путаете сложность и стоимость. В данном случае атакующих просто прельщает бОльшая прибыльность других направлений, особенно, учитывая объёмы наработок по ним. >> Вирусам не нужна бинарная совместимость на уровне зависимостей, скриптов запуска служб и т.п. > Все так. Просто для них нет какой-то особо благодатной почвы которая бы > позволила им стать простыми и массовыми. Вот именно, что нет почвы для массового распространения. Со сложностью написания и внедрения 0day-вирусов проблем нет: она низкая.
	Ответить | Правка | Наверх | Cообщить модератору

	168. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 15:25
	> травой не увлекаюсь, зашел новость почитаь и упал от смеха с написанных слов Судя по вашим постингам - у меня большие сомнения насчет вашей честности в этом вопросе. >> его устанавливают на уже взломанную систему. > ))))))))))))) Это вы теперь сами над собой смеетесь? > под линукс вирусов и вредоносов нету и это супер защищенная система )))) Супер, не супер, но в целом - достаточно неудобная для вредоносных сущностей система. А со всякими виртуалками, контейнерами, security подсистемами и прочая - оно может быть весьма невкусной для хакеров штукой. Просто техника в руках дикаря - груда металлолома.
	Ответить | Правка | К родителю #142 | Наверх | Cообщить модератору

	53. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 14:44
	> Подвержены чему? Руткит это не вирус, он сам не распространяется, его устанавливают > на уже взломанную систему. Вопрос в том, кто взламывает и устанавливает. Похоже на червие.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	35. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–2 +/–
	Сообщение от Сергей (??), 21-Ноя-12, 13:56
	Для противодействия достаточно монтировать на серверах /etc и /lib в read-only.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	37. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 14:05
	> Для противодействия достаточно монтировать на серверах /etc и /lib в read-only. И после этого, никогда не обновляться.
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от ZloySergant (ok), 21-Ноя-12, 15:04
	>И после этого, никогда не обновляться. Наркоман? man 8 mount на предмет remount'а.
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+5 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 15:08
	> Наркоман? man 8 mount на предмет remount'а. То есть даже без аппаратной защиты от записи? LOL. Что мешает сделать remount самому руткиту, если он уже работает на уровне ядра (т.е. с максимальными полномочиями)?
	Ответить | Правка | Наверх | Cообщить модератору

	102. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 16:59
	> ядра (т.е. с максимальными полномочиями)? Геморность реализации парирования всех заскоков админов :). Ушибленных админов много а автор руткита - один. Он задолбается AI разгребающий все подляны всех админов выписывать. Поэтому чем нестандартнее настройки - тем вероятнее что автоматизированная хренота словит былинный отказ и отползет сломав зубы.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от BratSinot (?), 21-Ноя-12, 17:48
	А кто вам сказал что автор руткита один?
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от Xasd (ok), 21-Ноя-12, 18:46
	> Геморность реализации парирования всех заскоков админов :). админы, у вас Чуство Собвственной Важности похоже что запредельно... ..вы хоть представляете себе какое огромное количество гемороя пришлось УЖЕ решить разработчиком этого руткита, для того чтобы руткит просто начал работать? решить ещё и чуть-чуть гемороя с тем чтобы просмотреть /etc/fstab и на основании него сделать remount -- это практически нет-ничего.
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

	127. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	–1 +/–
	Сообщение от Аноним (-), 21-Ноя-12, 22:39
	> ..вы хоть представляете себе какое огромное количество гемороя пришлось УЖЕ решить Да никакого там особого геморроя. Гражданин исследующий этот экспонат пришел к выводу что это довольно хилая поделка, автор которой очень средне знает линуксный кернель и потому сработал довольно топорно. А былинный отказ с эханием после exit 0 :) явно подтверждает лишний раз что это создано явно не супер-про высшей квалификации. > разработчиком этого руткита, для того чтобы руткит просто начал работать? Судя по всему - автору просто пришла в бошку свежая идея и он ее влобешник реализовал. Оно даже работает. Не, идея с патчингом TCP/IP чтобы прямо там вклиниваться - свежо и нахально, не отнять. Но кроме этого - ничего такого особенного. Все руткиты ведут себя похоже в плане маскировки. > решить ещё и чуть-чуть гемороя с тем чтобы просмотреть /etc/fstab и на основании > него сделать remount -- это практически нет-ничего. Проблемки только вот в чем: 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает как и где монтируется желаемый путь и его правильный и однозначный ремоунт - не сильно тривиально. 2) Это утяжелит троян и потенциально повысит его паливность. 3) Это лишь один из over 9000 фокусов которые может отколоть админ. Вероятность что админ отколет именно этот фокус а не 9000 иных - очень небольшая. 4) А что если админ оказался чуть более козел и допустим squashfs юзанул? Если уж ему хотелось глухое readonly - это можно. А теперь попробуйте заремаунтить... :)
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от Xasd (ok), 22-Ноя-12, 00:48
	> 4) А что если админ оказался чуть более козел и допустим squashfs > юзанул? Если уж ему хотелось глухое readonly - это можно. А > теперь попробуйте заремаунтить... :) ладно.. тогда предлагаю другой алгоритм (если вы так сопративляетесь!) -- если оказывается что файловая система readonly , то просто затираем /dev/md* /dev/sd* (и другие блочные устройства) из /dev/urandom ... ...в отместку! так-то! :-) ..а теперь надеюсь что вы проклянёте-всё-на-свете что сделали read-only для защиты от автоматических вторжений. :-D :-D # P.S.: и кстате да, именно автоматических! потомучто при вторжении вручную -- можно вручную (глазами, мозгом) отпарсить /etc/fstab. тоесть предполагается что вторгатель человек получил уже хоть какой-то доступ к системе, прежде чем внедрять rootkit . может украл SSH-ключ, может через PHP-инъекцию.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 15:42
	> ...в отместку! И немедленно палим свою активность и обращаем внимание на проблемы. А зачем? Руткит пихается с ровно обратной целью. > защиты от автоматических вторжений. :-D :-D Я просто перераскатаю все из бэкапов и учиню лютейший аудит на предмет того "а как это вообще стало возможно". Не говоря уж о том что аверы специально начнут расставлять специально ослабленные приманки с такой конфигурацией. Разве плохо если автоматизированные дебилы будут сами себя сдавать как стеклотару? Аверы потом снапшот откатят и им похрен, а вот ценный экспонат поймать - можно :). А вот если некто бодался с написанием такого кастомного модуля, быстро спалиться - явно не в его интересах. > # P.S.: и кстате да, именно автоматических! потомучто при вторжении вручную -- > можно вручную (глазами, мозгом) отпарсить /etc/fstab. Ну вот в этом и есть отличие между человеком и роботом. На данный момент роботы не могут проявить полную автономность и принимать произвольные по сложности решения самостоятельно. В день когда AI это наконец смогут, у нас будут намного более важные проблемы чем какие-то вшивые вирусы. > тоесть предполагается что вторгатель человек получил уже хоть какой-то доступ > к системе, прежде чем внедрять rootkit . может украл SSH-ключ, может через PHP-инъекцию. В данном случае вторгатель явно не был человеком, иначе бы он не зафэйлил с exit 0 :)
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от коксюзер (?), 22-Ноя-12, 09:43
	> Проблемки только вот в чем: > 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает > как и где монтируется желаемый путь и его правильный и однозначный > ремоунт - не сильно тривиально. Посмотреть в /proc/mounts (или список разделов внутри ядра) и перемонтировать для записи раздел, путь до точки монтирования которого является наиболее длинной частью пути до интересного файла - это разве нетривиально? > 2) Это утяжелит троян и потенциально повысит его паливность. Не утяжелит и не повысит. > 3) Это лишь один из over 9000 фокусов которые может отколоть админ. > Вероятность что админ отколет именно этот фокус а не 9000 иных > - очень небольшая. На практике никто никаких фокусов не откалывает. Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не для системных задач (обновление ПО на read-only разделе - пример такой задачи). > 4) А что если админ оказался чуть более козел и допустим squashfs > юзанул? Если уж ему хотелось глухое readonly - это можно. А > теперь попробуйте заремаунтить... :) Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов с / на read-only разделе? Риторический вопрос.
	Ответить | Правка | К родителю #127 | Наверх | Cообщить модератору

	174. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+2 +/–
	Сообщение от Аноним (-), 22-Ноя-12, 16:36
	> до интересного файла - это разве нетривиально? Да, ибо вариантов как и что может быть смонтировано - туева хуча. А если какой-то админ начнет ивзращаться - туева хуча в квадрате. Полный парсер который ничего не сломает даже в краевых ситуациях не совсем тривиален, а если что-то отвалится, админ тут же попрется смотреть - WTF. Что явно не в интересах руткитчиков. >> 2) Это утяжелит троян и потенциально повысит его паливность. > Не утяжелит и не повысит. Всех вариантов что, откуда и как может быть замонтировано - довольно много. И все-равно на кравевых случаях проблемы будут. > На практике никто никаких фокусов не откалывает. Ну если рассчитывать на сферического админа в вакууме - да. Поэтому и упомянутый фокус никто не учитывает. Так что тем админам кто не хочет автоматизированные заразы - логично менять конфигурацию системы с дефолтов. Желательно наименее предсказуемым образом. И мониторить все это. > Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не > для системных задач (обновление ПО на read-only разделе - пример такой задачи). Обновление системы может делаться под чутким присмотром админа, опять же. Ну и вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html >> теперь попробуйте заремаунтить... :) > Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель > питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов > с / на read-only разделе? Риторический вопрос. Именно дебиан на ридонли - ну да, редкая штука. А сам я больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :)
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от коксюзер (?), 22-Ноя-12, 19:03
	>> до интересного файла - это разве нетривиально? > Да, ибо вариантов как и что может быть смонтировано - туева хуча. Определить точку монтирования раздела, на котором лежит нужный файл, очень просто. Перемонтировать с remount,rw - ещё проще. Нет тут никакой "туевой хучи" факторов. Нет. Точка. Попытайтесь уже сами представить алгоритм определения раздела и перемонтирования и попробуйте найти место, о котором можно сказать: вот здесь высока вероятность таких-то проблем. Нет там таких мест. А ваша уверенность в обратном только ставит ситуацию с головы на ноги и показывает, насколько легковерны админы, и чего на самом деле стоят их "извращения". > А если какой-то админ начнет ивзращаться - туева хуча в квадрате. > Полный парсер который ничего не сломает даже в краевых ситуациях не > совсем тривиален, а если что-то отвалится, админ тут же попрется смотреть > - WTF. Что явно не в интересах руткитчиков. Не нужен там никакой "парсер". Что он там должен парсить? Список разделов и точек монтирования? Пути до файлов? > Всех вариантов что, откуда и как может быть замонтировано - довольно много. > И все-равно на кравевых случаях проблемы будут. Вариантов очень много, но сложности в деплое руткита они не прибавляют. Перемонтировать раздел - это так же просто и очевидно, как снять атрибут immutable с конечного файла. И не многим проще, чем отключить LSM и любые MAC-системы на их базе, располагая подходящей уязвимостью в ядре. Кроме того, руткит вполне может плакаться родителю о любых провалах. Хотите поставить на то, что папе лень будет зайти на сервер, убрать препятствия, задеплоить руткит и включить обход этих препятствий в следующей версии? >> На практике никто никаких фокусов не откалывает. > Ну если рассчитывать на сферического админа в вакууме - да. Поэтому и Даже хитрые и несферические больше треплются, чем реально что-то делают. Потому что как истинные неуловимые джо привыкли мыслить на лучших случаях - надеяться на авось, иными словами. Тогда как общепринятые практики с сфере ИБ совершенно другие, и никакой тайны не составляют - было бы желание прочитать и понять. > упомянутый фокус никто не учитывает. Так что тем админам кто не Откуда вы знаете, учитывает или нет? Я видел rescue-скрипты от хостеров, которые учитывают подобные проблемы, а вы рассуждаете в глобальных категориях: "никто"... Авось никто, ага. > хочет автоматизированные заразы - логично менять конфигурацию системы с дефолтов. > Желательно наименее предсказуемым образом. И мониторить все это. Менять надо целенаправленно и с пониманием того, зачем именно производится каждое изменение. А не просто в надежде на "авось как-то помешает". > Обновление системы может делаться под чутким присмотром админа, опять же. Ну и > вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html А вы сами пробовали обновить ПО на корневом squashfs-разделе без перезагрузки системы? Этот метод создаёт гораздо больше проблем, чем решает. > Именно дебиан на ридонли - ну да, редкая штука. А сам я А знаете, почему? Система становится практически неюзабельной. А реальных результатов, помимо поводов для надежды на авось, это не даёт. Пока система работает - работает и руткит, даже если он неперсистентный, а после перезагрузки системы у взломщика есть хороший шанс проникнуть на неё повторно, до следующего перезапуска. Многие даже отдают предпочтение неперсистентным руткитам - чтобы не палить инструментарий в случае ухода машины на аудит. > больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :) Без рассмотрения конкретной ситуации не ясно, плохо это или нет. Виртуалки и контейнеры широко известны в узких кругах как хороший способ положить все яйца в одну корзину.
	Ответить | Правка | Наверх | Cообщить модератору

	188. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+1 +/–
	Сообщение от away (?), 25-Ноя-12, 19:37
	>[оверквотинг удален] >> Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не >> для системных задач (обновление ПО на read-only разделе - пример такой задачи). > Обновление системы может делаться под чутким присмотром админа, опять же. Ну и > вообще, лучший метод от козлов - неожиданность, как-то так: http://dihalt.ru/gazenvagen.html >>> теперь попробуйте заремаунтить... :) >> Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель >> питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов >> с / на read-only разделе? Риторический вопрос. > Именно дебиан на ридонли - ну да, редкая штука. А сам я > больше предпочитаю виртуалки и контейнеры. Что тоже неплохо :) Не позорь имя онанима, теж сказали в ядре все пути есть что куда примонтированно, не нужен парсер, Прикрати слушать только себя, в этом мире куча людей  "over 9000" умнее и осведщомленние чем мы с тобой вместе, хорош флудить, как не понятно такие как ты убиваю желание почтить что-то дельное. peace
	Ответить | Правка | К родителю #174 | Наверх | Cообщить модератору

	186. "Выявлен новый rootkit для Linux, осуществляющий подстановку ..."	+/–
	Сообщение от Bvz (?), 23-Ноя-12, 09:39
	АГА! Вот так вот и будет изобретён ИИАА (искусственный интелект анти-админа) а там и до простого ИИ недалеко и здравствуй сингулярность
	Ответить | Правка | К родителю #102 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема