ValdikSS Feb 16 2014 at 13:41

Новый Userland-RootKit Azazel

3 min

11K

Information Security*

+30

Comments 13

volnov Feb 16 2014 at 13:42

LiveCD всему голова!

-4

alexmay Feb 17 2014 at 10:48

#irony
Точно, особенно на продакшн-сервере.

SkazochNik Feb 16 2014 at 15:52

Мы все умрем?

ValdikSS Feb 16 2014 at 16:02

А ТО!

Paskal Feb 16 2014 at 18:28

Я тоже подумал, что не хватает этого тега.
Спасибо, интересная статья. Теперь я буду хуже спать.

milabs Feb 17 2014 at 07:54

Жить будем долго и счастливо — habrahabr.ru/post/212825/

iscsi Feb 16 2014 at 19:44

selinux mls

RPG Feb 16 2014 at 19:57

Ну зачем же так сурово. Можно на Fedora с targeted потестировать сначала. Вот этого явно не хватает в текущей статье — как оно реально применимо? Механизмы нападения совершенствуются, но и защиты — не отстают.

По иронии судьбы, Азазель маскируется под libselinux.

RPG Feb 16 2014 at 19:52

Судя по

By default, Azazel installs itself as libselinux.so into /lib. An entry is then added to /etc/ld.so.preload in order to hook system wide dynamically compiled programs.

нужны права рута для полноценной эксплуатации руткита?

ValdikSS Feb 16 2014 at 19:58

Не совсем так. Можно, например, определенному пользователю установить в домашнюю директорию, и закинуть LD_PRELOAD в .bashrc.

RPG Feb 16 2014 at 20:04

Тогда вопрос с другой стороны: как маскируется мусор в домашнем каталоге и .bashrc (предположим что пользователь или антивирус в состоянии туда дотянуться)? Т. е. он может скрыть само по себе присутствие записи в bashrc?

ValdikSS Feb 16 2014 at 20:10

Файлы можно маскировать, задав им определенный GID, например, а для записи в bashrc нужно немного кода дописать.

DRek Feb 16 2014 at 20:15

Я думаю тут больше подходит такой вариант что, подобрали к примеру рут пароль через ссш или поломали тот же плеск и после этого незаметно внедрили данный бекдор и юзают сервак как ноду ботнета. Учитывая что каналы на серверах на порядок лучше чем у юзеров, то ботнет из 100 таких машин вполне будет сопоставим с ботнетом из 10 000 юзеров.

Show the best of all time