HiddenWasp: O mais recente malware que afeta o Linux permite controlo absoluto

Eu says:

TODOS os sistemas são inseguros, e TODOS têm “portas abertas”.
Tanta preocupação, quando QUASE todos, têm no bolso/bolsa uma enorme porta que teimam em não dar atenção.

arc says:

Vamos clarificar as coisas, tal como são, sem MEDOS, sem RODEIOS e com CALMA!

NÃO é UNICAMENTE VERDADE, que seja EXCLUSIVO, para as Distribuições de Linux, sendo que esta perigosa variante de Trojan associada a um Rootkit e que ATACA o LD_PRELOAD, é TRANSVERSAL a todos os *nixs, para quem não sabe.

É, por isso mesmo, BASTANTE MAIS GRAVE, sendo que o LD_PRELOAD, funciona em todos os sistemas ELF, quer isto dizer, que Distribuições de Linux, OpenBSD, Solaris ,etc., ESTÃO ou PODEM-SE ENCONTRAR em RISCO a SEREM COMPROMETIDOS.

No fundo, o que é visado por este AMEAÇADOR (Trojan e Rootkit), é nem mais nem menos, uma técnica de Escalonamento de Privilégios, a qual vem explorar uma das muitas variáveis de ambiente, sendo que neste caso vertente, recai sobre o LD_PRELOAD (http://man7.org/linux/man-pages/man8/ld.so.8.html).

Assim, o LD_PRELOAD, é então uma variável de ambiente (OPCIONAL), a qual contém, um ou mais paths para as bibliotecas compartilhadas(shared libraries) ou objectos compartilhados (shared objects), em que o loader, vai ser carregado ainda antes de qualquer outra shared library, incluindo a C run-time library, denominada libc.so, a qual funciona como run-time link editor.

Por isso, para que se evite que este mecanismo seja utilizado, como um vector de ataque para binários executáveis suid/sigd, o loader vai ignorar o LD_PRELOAD se ruid!=euid

(https://en.wikipedia.org/wiki/User_identifier)

(Pois é, onde andam as boas práticas de Segurança, praticadas pelos users e pelos SysAdmin?!)

Assim para tais binários, apenas e só as bibliotecas, que se encontrem nos paths standard que sejam suid/sgid vão ser carregadas.

Sendo que a partir daqui, é que começa o PROBLEMA.

No fundo o Preloading, mais não é um recurso bastante IMPORTANTE, suportado TOTALMENTE pelo runtime loader de binários ELF implementado na glibc e se quisermos ser ainda mais específicos nesta matéria, estamos a falar do rtld.c (https://sourceware.org/git/?p=glibc.git;a=blob_plain;f=elf/rtld.c;hb=HEAD)

NOTA: NÃO é OBRIGATÓRIO a utilização da glibc em Distribuições Linux hoje em dia, podemos utilizar a musl libc directamente em detrimento da glibc, vidé Alpine Linux (https://alpinelinux.org/) e Void Linux (https://voidlinux.org/). Por outro lado, Distribuições como Gentoo, Arch e Debian, a musl libc, pode ser instalada como sendo um pacote opcional.

Por isso mesmo, a GRAVIDADE é ENORME, na medida em que o tal de preloading, consegue carregar uma biblioteca antes de todas as outras, durante o processo de carregamento de um qualquer executável!

Ora isto é VERDADE, assim é POSSÍVEL INJECTAR qualquer tipo de FUNÇÕES em programas, INSPECIONAR as funções existentes, etc.

No fundo estamos perante um root shell, com todo o poder de destruição POSSÍVEL.

Não me irei alongar muito mais, porque NÃO estou RIGOROSAMENTE nada PREOCUPADO, com este tipo de AMEAÇAS.

NOTA FINAL:

Por tudo isto, é que os utilizadores INCAUTOS das Distribuições de Linux, continuam a utilizar a conta root para tudo e mais alguma coisa nas suas Distribuições de Linux, continuam a aplicar soluções vindas de web sites e blogs não credíveis (muitos com o propósito de infectar os users), copy/paste directo em root terminal de todos os scripts, ou seja lá o que for, colocam o path do utilizador normal com acesso total ao sistema (root directo a todos é BOM!!), não verifiquem as permissões, não aplicam as melhores medidas de proteção ao sistema, não realizam auditorias com regularidade à integridade do sistema, continuam a instalar pacotes fora dos repositórios oficiais da vossa distribuição, instalam PPAs, Flatpaks, APPimage, Snaps e o que mais venha a aparecer a torto e a direito e…finalmente, …

Deixam as vossas Distribuições de Linux como sendo um PERFEITO Queijo Suíço.

Zé Duarte says:

Seguro onde? Basta meter um parâmetro errado num comando e aquela treta rebenta-se toda sozinha agora imagina intensionalmente.