Linux worm misbruikt Mambo en PHP XML-RPC lek
Het Finse F-Secure waarschuwt deze ochtend voor een variant van de Linux Mare worm die op dit moment actief is. Mare.D is een netwerk worm die zich verspreidt via lekken in het Mambo content management systeem en de PHP XML-RPC library. De worm installeert verschillende backdoors op het gecompromitteerde systeem.
Het grootste gedeelte van Mare.D is geschreven in C en gecompileerd met de GNU C compiler. Mare.D bestaat uit verschillende onderdelen, geschreven in C, shell script en Perl.
De worm scant willekeurige hosts op kwetsbare Mambo installaties en PHP XML-RPC libraries. Weet de worm binnen te komen, dan wordt er een klein shell script gedownload die de rest van de backdoor onderdelen installeert.
sinds november rondzwerft op "het Internet". En alleen omdat
die idioot Gadi Evron het zo belangrijk vond om het te
posten, wordt er nu overal aandacht aan geschonken...
Kill lordnikon!
Er wordt gebruik gemaakt van een elf-binary, dus is het een ......?
Voordat alle windoos fanaten gaan lopen blaten: dit is dus
geen Linux worm, maar een Mamba/PHP worm.
kunt vertellen dat het een Mambo/PHP worm is, maar je Linux
installatie zal erdoor worden aangetast.
Anders zou je het "I love you"-virus ook geen Windows virus
kunnen noemen, maar dom klikgedrag van de gebruiker. Wat het
eigenlijk ook is overigens. Maar als je dit soort virussen
niet mee zou tellen vallen het aantal virussen die echt
lekken in het Windows OS gebruiken meevallen met heel veel
procenten.
met de GNU C compiler. Mare.D bestaat uit verschillende onderdelen,
geschreven in C, shell script en Perl"
Klinkt als scriptkiddy-werk. Effe in de 'ballenbak' graaien naar leuke stukjes
code en dan in de blender en voila, malware.
Dankzij deze mixer is het dan ook moeilijk om zo even te zeggen wat het is.
Voor de een is een PHP/Mambo worm, omdat PHP/Mambo niet standaard
in 'Linux' zit, voor de andere is het juist wel een Linux worm, omdat het
Extensible & Linking Format bestanden gebruikt welke niet kunnen zorgen
voor propagatie op Windows x86 systemen.
Voordat alle windoos fanaten gaan lopen blaten: dit is dus
geen Linux worm, maar een Mamba/PHP worm.
Voordat alle windoos fanaten gaan lopen blaten: dit is dus geen Linux worm, maar een Mamba/PHP worm.
Maar goed, de infectie-vector is voor alle systemen hetzelfde (windows, linux en *BSD), het Perl script zou mogelijkerwijs wel op *BSD systemen (incl. OSX) kunnen lopen.. Evenals het shell script.. Ik heb de code nog niet gezien dus ik kan dat niet met zekerheid zeggen.. De C code is makkelijk.. Die werkt echt alleen op Linux.. Tenzij je de source opnieuw compileert.. (Aanroepen van API's gaat bij *BSD anders dan bij Linux)
En SirDice, Linux is toch alleen een kernel? Hoe kan 't dan nu een Linux worm zijn als 't niet de kernel is die de fout bevat? :P
Maar in vergelijking.. Er is eigenlijk geen enkele reden waarom netsky niet op Linux/*BSD zou kunnen werken... Infectie-vector is de gebruiker (Netsky misbruikt geen bugs).. Is het dan een gebruikers of een windows virus??
Waarom zou dat dan wel een windows virus zijn en dit geen Linux virus? Ongeacht de infectie-vector propageert Netsky alleen op Windows en Mare/Lupii op Linux.. Dat maakt Mare/Lupii dus een Linux virus (worm eigenlijk)..
De C code is makkelijk.. Die werkt echt alleen op Linux..
Tenzij je de source opnieuw compileert.. (Aanroepen van
API's gaat bij *BSD anders dan bij Linux)
Tenzij op die BSD de Linux compatability extension aan is
gezet, dan kan het weer prima draaien...
logs op mn website
vullen met allemaal crap en dan heb ik maar een heel simpel
siteje waar maar 10 mensen komen en niet te vinden is in de
zoekmachines (volgens mij).
enige mogelijkheid om dit na te kijken? ik zie zie hopen logs op mn website
NB Zolang je geen Mambo of XML-RPC draait hoef je je geen zorgen te maken om deze worm..
Paar maanden geleden was dit hot. Zag je zomaar je logs
vullen met allemaal crap en dan heb ik maar een heel simpel
siteje waar maar 10 mensen komen en niet te vinden is in de
zoekmachines (volgens mij).
Wormen hebben de neiging om gewoon een reeks IP adressen af
te gaan en het blind te proberen..
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
