О вирусах в Линуксе

Barmalei · Сообщение **Barmalei** » 01 дек 2015, 22:34

Delles писал(а):
Barmalei писал(а):воруют ФТП доступы и удаляются. А других потом шифруют
Всяко админ отвечать должен, и другие тоже бэкап иметь. Я к тому, что ситуация в общем банальна. Если б не пиар Доктора Уеба.

Я не знаю про какой пиар вы, я им пользуюсь на Вынь 7 лет.
А бэкапы нормальные люди имеют, тем более сервера. У меня важные данные все в бэкапе.

Delles · Сообщение **Delles** » 01 дек 2015, 22:44

Barmalei писал(а):Я не знаю про какой пиар вы

Да весь этот шум глупый про шифровальщика. Как будто ни до, ни помимо, гадостей, работающих под Линуксом, не было. Обычная гадость, пользующаяся прорехами, тоже мне невидаль.

Barmalei писал(а):А бэкапы нормальные люди имеют, тем более сервера. У меня важные данные все в бэкапе.

Одного бэкапа мало, надо еще доступ не давать. А то устанешь бэкап перезаливать, если он в одну и ту же щель будет залезать.

Barmalei · Сообщение **Barmalei** » 02 дек 2015, 00:10

Delles писал(а):
Barmalei писал(а):Я не знаю про какой пиар вы
Да весь этот шум глупый про шифровальщика. Как будто ни до, ни помимо, гадостей, работающих под Линуксом, не было. Обычная гадость, пользующаяся прорехами, тоже мне невидаль.

Barmalei писал(а):А бэкапы нормальные люди имеют, тем более сервера. У меня важные данные все в бэкапе.
Одного бэкапа мало, надо еще доступ не давать. А то устанешь бэкап перезаливать, если он в одну и ту же щель будет залезать.

Шифруются файлы, но это беда юзверов без защиты. Я сам видел пару раз шифрованные копмы. Все файлы кроме системы зашифрованы. Расшифровать без тела не реально.
А бэкапы у меня отдельно лежат.

Алзим · Сообщение **Алзим** » 03 дек 2015, 14:14

Barmalei писал(а): Шифруются файлы, но это беда юзверов без защиты.

Шифруются файлы, только у тех, кто сам запускает левый скрипт с правами root. Если админ ничего не сделает сам, то и вирус работать не будут.
Это вирус для дураков. Но, в Линуксе таких не так много. Это же не Винда, где люди тупо соглашаются на всё и совсем. Пользователей Линукса меньше и они более опытные. А которые новички, то у них тоже могут быть проблемы, т.к. запустить скрипт с правами root может не каждый.

Delles · Сообщение **Delles** » 03 дек 2015, 15:32

Алзим писал(а):скрипт с правами root может не каждый.

Это шифровальщик и без рута работает, там, где можно. Я сам недавно написал скрипт (не вредоносный), заархивировал его 7z и отправил знакомому, сказав "Распакуй и запусти, кликнув по нему дважды". Он распаковал, кликнул, и всё сработало. Вопрос только в том, чтобы ① закинуть скрипт на компьютер; ② побудить его запустить. И вывод: не скачивать непонятно что, не запускать непонятно что, а свои важные папки в home можно и руту во владения отдать.

Yamah · Сообщение **Yamah** » 07 дек 2015, 18:45

Barmalei писал(а):На вынь у меня уже 7 лет стоит DrWeb. Копм всегда чистый при том что ребенок все время читы ищет.

Раз. На работе есть ПК с Винда ХРень как единственной ОС. Антивируса там не была ни дня. Комп используется каждый рабочий день для работы: в него вставляют флэшки, с него лазят по сайтам (да, не по порно и не по варезникам). Так вот там до сих пор нет ни одного вируса. И в этом заслуга не пользователя, а того, кто этот ПК настраивал.
Два. Как-то чистил я один ПК от завирусованный по самое "не могу", на борту стоял лицензионный нод. Последовательно прогонял Рескуе-дисками Др.Веба, Касперского, ClamAV. После Антивируса от лаборатории Данилова тоже дофига подчищал антивирусом от дяди Жени. После этого ClamAV еще с десяток находил. Поменяй я последовательность использования антивирусов, результат бы не изменился.
Три. Ради хохмы как-то проверил ПК из пункта два, антивирусом, написанном на BASH с целыми пятью вирусами в базе, так нашел два экземпляра одного вируса.

*d0s · Сообщение *d0s » 08 дек 2015, 14:05

Извините за оффтоп. Оказывается у Мандривы можно обновлять сам ClamAV до свежей версии через urpmi

Official Mandriva packages are available through the software package manager or urpmi:

urpmi.update-update

urpmi-update-autoclamd

Officla Mandriva packages are maintained by Oden Erikkson.

Или я не так понял?

Barmalei · Сообщение **Barmalei** » 15 янв 2016, 17:39

Решил опять потестить на Росе Drweb. Запустил полную проверку.

notauser · Сообщение **notauser** » 15 янв 2016, 17:52

Зачем? Пользователям Linux он не нужен. Это ведь та компания, которая предлагает заплатить денег за решение проблем, которые другая компания предлагает решить бесплатно? Да?

Barmalei · Сообщение **Barmalei** » 15 янв 2016, 18:09

notauser писал(а):Зачем? Пользователям Linux он не нужен. Это ведь та компания, которая предлагает заплатить денег за решение проблем, которые другая компания предлагает решить бесплатно? Да?

Кто бесплатно реально расшифровал RSA? А простые проблемы все решают.
Но это ваше дело так думать.
Многие поймают вирус, зашифруются, а потом пишут если я куплю лицуху вы мне расшифруете.
RSA и за 20 лет не расшифровать.

ДроноваЮ

notauser писал(а):Зачем? Пользователям Linux он не нужен. Это ведь та компания, которая предлагает заплатить денег за решение проблем, которые другая компания предлагает решить бесплатно? Да?

Тсс, не мешайте людям превращать линух в родную венду

Barmalei · Сообщение **Barmalei** » 15 янв 2016, 18:42

ДроноваЮ писал(а):
notauser писал(а):Зачем? Пользователям Linux он не нужен. Это ведь та компания, которая предлагает заплатить денег за решение проблем, которые другая компания предлагает решить бесплатно? Да?
Тсс, не мешайте людям превращать линух в родную венду

Вы просто не понимаете смысла в этом.

notauser · Сообщение **notauser** » 15 янв 2016, 18:43

Barmalei писал(а):
notauser писал(а):Зачем? Пользователям Linux он не нужен. Это ведь та компания, которая предлагает заплатить денег за решение проблем, которые другая компания предлагает решить бесплатно? Да?
Кто бесплатно реально расшифровал RSA? А простые проблемы все решают.
Но это ваше дело так думать.
Многие поймают вирус, зашифруются, а потом пишут если я куплю лицуху вы мне расшифруете.
RSA и за 20 лет не расшифровать.

http://forum.rosalab.ru/memberlist.php? ... ile&u=4562
Вы про это "RSA"?
Так и пишут: "В настоящее время специалисты компании «» разработали технологию, позволяющую расшифровать данные, зашифрованные вредоносной программой.", "Напоминаем, что сигнатура Linux.Encoder.1 добавлена в базы Антивируса" сами знаете где.
Про защиту от "Получив несанкционированный доступ к сайту" не пишут. Или что-то пропустил?

notauser · Сообщение **notauser** » 15 янв 2016, 18:48

Для Алзим

> Вы просто не понимаете смысла в этом.
Вы не правы.

Barmalei · Сообщение **Barmalei** » 15 янв 2016, 19:43

Тест пройден. Нашел 5 файлов заразных. И те кто не понимает, это я делал для того чтобы вот такого не было. http://forum.rosalab.ru/viewtopic.php?f=6&t=6700
Clam AV не нашел, а сидеть открывать каждый файл и смотреть что в нем времени не хватит.

Yamah · Сообщение **Yamah** » 15 янв 2016, 20:31

А что хоть за файлы и где?

Delles · Сообщение **Delles** » 15 янв 2016, 20:34

Barmalei писал(а):Тест пройден. Нашел 5 файлов заразных. И те кто не понимает, это я делал для того чтобы вот такого не было. http://forum.rosalab.ru/viewtopic.php?f=6&t=6700
Clam AV не нашел, а сидеть открывать каждый файл и смотреть что в нем времени не хватит.

Утвердился в мысли, что браузером лучше пользоваться из папки с правами 700, и при первом же подозрении ее удалять и создавать новую. А Вам, как постоянно пользующемуся и Lx, и Ws, антивирус, конечно, весьма желателен.

notauser · Сообщение **notauser** » 15 янв 2016, 20:50

600 было лучше. Я уже подумал, что ещё чуть и скоро поймёте http://forum.rosalab.ru/viewtopic.php?f=6&t=6602

Delles · Сообщение **Delles** » 15 янв 2016, 21:00

notauser писал(а):600 было лучше. Я уже подумал, что ещё чуть и скоро поймёте http://forum.rosalab.ru/viewtopic.php?f=6&t=6602

Уже понял, как и написал в теме про свихнувшуюся красную панду. Папкам, вроде бы, положено 700, разве нет?

notauser · Сообщение **notauser** » 15 янв 2016, 21:04

Barmalei писал(а):Тест пройден. Нашел 5 файлов заразных. И те кто не понимает, это я делал для того чтобы вот такого не было. http://forum.rosalab.ru/viewtopic.php?f=6&t=6700
Clam AV не нашел, а сидеть открывать каждый файл и смотреть что в нем времени не хватит.

Ничего не понял. Какой тест и кем пройден? Типа запустили антивирус и ...? К Clam AV можно подключить и другие базы сигнатур, включая платные (по подписке). Последними пользуются многие вендоры. Если имелась в виду проактивная защита и эвристика, то без ссылок на конкретные детали - пустое. Можно посмотреть https://news.drweb.ru/show/?i=9783&lng=ru&c=14 и перечитать то, что было написано по этому поводу здесь http://forum.rosalab.ru/memberlist.php? ... ile&u=4562 и выше.
UPD Если можете - скажите им, что бы определились "троянец" или "энкодер" и от чего они нас защитят, если станем "обладателям коммерческих лицензий"

Barmalei · Сообщение **Barmalei** » 15 янв 2016, 21:18

Я cвою работу сделал. Вам не обязательно все знать. А на Вынь у меня стоит Доктор. А тут я взял бесплатно на попробовать.

notauser · Сообщение **notauser** » 15 янв 2016, 21:20

Обязательно. И выше UPD

notauser · Сообщение **notauser** » 15 янв 2016, 21:22

Barmalei писал(а):Я вою работу сделал. Вам не обязательно все знать. А на Вынь у меня стоит Доктор. А тут я взял бесплатно на попробовать.

Всю или свою?

trs · Сообщение **trs** » 16 янв 2016, 06:26

notauser писал(а):600 было лучше. Я уже подумал, что ещё чуть и скоро поймёте http://forum.rosalab.ru/viewtopic.php?f=6&t=6602

Следующей ступенью может стать понимание сути чистоты функций, и что С это как О, но с дыркой...

Delles · Сообщение **Delles** » 16 янв 2016, 13:37

trs писал(а):Следующей ступенью может стать понимание сути чистоты функций, и что С это как О, но с дыркой...

Во всяком случае, изучение и применение юниксовых методов защиты и интереснее, и безопаснее, чем установка какого-то тёмного Доктора, который может обрушить систему (с обсуждения чего эта ветка и началась).

Barmalei · Сообщение **Barmalei** » 16 янв 2016, 16:01

Delles писал(а):
trs писал(а):Следующей ступенью может стать понимание сути чистоты функций, и что С это как О, но с дыркой...
Во всяком случае, изучение и применение юниксовых методов защиты и интереснее, и безопаснее, чем установка какого-то тёмного Доктора, который может обрушить систему (с обсуждения чего эта ветка и началась).

Не ошибается тот кто ничего не делает.

Delles · Сообщение **Delles** » 16 янв 2016, 16:06

На обоих компах сделал папку с правами 700, куда распаковал Оперу. Теперь буду бродить по интернету ею, и если что не так, удалю и пересоздам. Импортировать закладки — несколько секунд.

Barmalei · Сообщение **Barmalei** » 16 янв 2016, 16:08

Delles писал(а):На обоих компах сделал папку с правами 700, куда распаковал Оперу. Теперь буду бродить по интернету ею, и если что не так, удалю и пересоздам. Импортировать закладки — несколько секунд.

Ну это уже паранойя по моему у вас начинается.

Delles · Сообщение **Delles** » 16 янв 2016, 16:14

Barmalei писал(а):Ну это уже паранойя по моему у вас начинается.

Нормально. Жаль, у нас клеток (jails) нет.

Yamah · Сообщение **Yamah** » 16 янв 2016, 18:01

А смысл делать на папку с бинарем броузера 700? Чтобы с другой учетки ничего не смогли туда записать или прочитать?
Броузер запущенный от этого пользователя сможет производить операции записи с любыми объектами, которые разрешено пользователю изменять.
Если зловред засел с правами рута, то это уже бесполезно.
Если защищаться от зловредов сторонних пользователей, то лучше на папки и файлы делать права 750 и 640 соответственно. Или же совсем 700/600.

Delles · Сообщение **Delles** » 16 янв 2016, 18:19

600 не пойдет, т.к. там исполняемые файлы.
Чтобы зловреду права рута заиметь, нужно долго стараться, а у меня все-таки не сервер.
700 на папку — чисто из принципа «чем меньше, тем лучше».

Yamah · Сообщение **Yamah** » 16 янв 2016, 19:47

600 - для файлов. 700 - для каталогов.
Вот только как это спасет данные пользователя от запущенного из папки пользователя с правами 700?

Delles · Сообщение **Delles** » 16 янв 2016, 20:29

Yamah писал(а):600 - для файлов. 700 - для каталогов.
Вот только как это спасет данные пользователя от запущенного из папки пользователя с правами 700?

600 для файлов не годится, т.к. скрипты и бинарники должны иметь право на выполнение.
Данные пользователя спасет только бэкап. Запуск из папки служит другой цели: возможности просто удалить браузер полностью, не прибегая ни к su, ни к sudo в тот момент, когда введение паролей на доп. права совершенно неуместно.

Yamah · Сообщение **Yamah** » 16 янв 2016, 20:51

Помнится, я писал скрипт, который удалял вначале сам себя, а потом еще кучу времени в цикле ждал пока я что-либо не положу в каталог его запуска.
А еще раньше, на MAndriva 2009 я умудрился полностью удалить KDE, находясь в них и какое-то время продолжал работать с загруженными приложениями.

Короче, надо вначале не папку убивать, а процессы запущенные из этой папки.

И все-таки какой смысл делать на папку с броузером chmod 700, если пользователю позволено удалить ее и с правами 755? Я так и не понял, от чего защищаетесь?
И еще вопрос. Запустили вы броузер из папки по пути скажем ~/opera, а она возьми и сохраняй скаченные данные, включая зловредные скрипты и бинарники, в ~/.opera. Убили вы папку ~/opera. И что дальше? А как с зловредами дела будут обстоять?

ИМХО, смысл вашей защиты: "заделать вентиляцию в туалете, чтобы в окно на кухне воры не залезли." Куда надежнее будет настройка SELINUX.

PS: Обидеть не хотел.

Delles · Сообщение **Delles** » 16 янв 2016, 21:20

Вы расширяете круг рассматриваемых атак, стремясь показать, что права 700 на папку от них не уберегут. Я согласен, полной безопасности не бывает, даже если запускать систему в лайве, а домашний раздел в read-only, то всё равно может случиться форс-мажор. Но ссылка выше была на хулиганства Огнелиса, и моя реакция была на это. Основная мысль была в том, чтобы не иметь необходимости повышения прав, для этого пользовательская папка, а 700 для того, чтобы по локальной сети в нее лишний раз чего-нибудь не вписали. Если у Вас есть еще предложения, помимо уже упомянутого SELinux, то милости просим.

Barmalei · Сообщение **Barmalei** » 17 янв 2016, 01:14

Меня защищает DrWeb SpIDer Gate® — обеспечит проверку веб-страниц в режиме реального времени, блокирует фишинговые и другие опасные интернет-ресурсы.

trs · Сообщение **trs** » 17 янв 2016, 06:31

Yamah писал(а):Если зловред засел с правами рута, то это уже бесполезно.

В том вся и соль.
Если атакуют эксплуатируя уязвимость в ядре, то какой смысл в этих правах?

На западе же разделяют термин "безопасность":
a) security - защита от атак извне;
b) safety - защита от внутренних угроз, то есть от самого пользователя и "что бы на работа работу работали а не в игрушки играли".
Второй пункт по-русски это "защита от дурака".
А нам говорят "безопасность в Unix". Может, правильно читать "у них"?

Delles · Сообщение **Delles** » 17 янв 2016, 12:30

Последнее время фокус дискуссии о безопасности, похоже, смещается на сохранность пользовательских данных. Безопасность именно системы — то, что заботит админа в первую очередь, — уже считается недостаточной. Примечательна критика прекрасно защищенной системы OpenBSD за недостаточную заботу о пользовательских данных. Кратко говоря, securelevel повышает неуязвимость системы, но не пользовательского раздела. Как и наш Фриз, кстати.

Re: DrWeb & Co. Я не испытываю ни малейшего желания иметь у себя на компе программу, которая будет сканировать каждый мой файл и при этом иметь связь с какой-нибудь Лабораторией, ее создавшей. Чем это не бэкдор, непонятно.

Yamah · Сообщение **Yamah** » 17 янв 2016, 16:31

Delles писал(а):Я согласен, полной безопасности не бывает, даже если запускать систему в лайве, а домашний раздел в read-only, то всё равно может случиться форс-мажор. Но ссылка выше была на хулиганства Огнелиса, и моя реакция была на это. Основная мысль была в том, чтобы не иметь необходимости повышения прав, для этого пользовательская папка, а 700 для того, чтобы по локальной сети в нее лишний раз чего-нибудь не вписали.

А зачем расширивать папку по сети?
SAMBA по умолчанию не расшаривает каталог на запись.
От любой записи в папку юзером не с правми пользователя защитит 755.
*00 в первую очередь защищает от чтения папки. Если это рассматривать как защиту от хулиганства со стороны объекта, лежащего в этой папке, то это защита не вас от других пользователей, а других пользователей от вас.

Хулиганства и прочие действия огнелиса записываются в папку ~/.mozilla

trs писал(а): Второй пункт по-русски это "защита от дурака".

"Защита от дурака", можно сравнить с защитой от пользователя, который решил что-то разделить на ноль.
То, про что вы говорите, - это защита от хитреца.

Delles · Сообщение **Delles** » 17 янв 2016, 17:17

Yamah писал(а):А зачем расширивать папку по сети?

Мной она не расшарена, но я не вполне знаю, на что согласился, когда кликал по "ОК", принимая настройки от Билайна. Меня сравнительно недавно Билайн перевел на новый протокол (IPoE), менялись настройки, и как именно — я не знаю. До этого было подключение по локальной сети, предшествующее подключению к интернету, и вряд ли это подключение исчезло.

От любой записи в папку юзером не с правми пользователя защитит 755.

Последняя пятерка означает, что "другие" могут запускать то, что лежит в этой папке. Зачем давать это право?

Хулиганства и прочие действия огнелиса записываются в папку ~/.mozilla

Разумеется. А Оперы, если случатся таковые, в ~/.opera, а также ~/.cache/opera. Поэтому при появлении хулиганств просто убиваются процессы (для чего не нужно повышение прав), удаляются эти папки, запускается

Код: Выделить всё

find ~/ -mmin -30 -exec rm -f {} \;

(или сначала zip на флешку, а потом rm) и перезагрузка.

Кстати, по поводу зловреда от рута. В BSD, как я уже упомянул, разработан прекрасный инструмент, радикально решающий эту проблему: рут может сам себе запретить доступ, и этот запрет снимается только перезагрузкой. Возможно ли столь же радикальное решение для пользовательских данных, которые находятся в работе? Я, кроме как работать оффлайн, пока не знаю. Но был бы рад узнать.

Barmalei · Сообщение **Barmalei** » 18 янв 2016, 12:10

Удалил все антивирусы. Посмотрим результат через пол года.

trs · Сообщение **trs** » 18 янв 2016, 13:18

Yamah писал(а): "Защита от дурака", можно сравнить с защитой от пользователя, который решил что-то разделить на ноль.
То, про что вы говорите, - это защита от хитреца.

Есть "хитрецы", кто не только делит на 0, но и вынуждает софт обращаться по 0му адресу, получается атака вида "отказ в обслуживании". А если не по нулевому, а по особо хитрому, то выполняет произвольный код с правами рута.

Delles писал(а):Примечательна критика прекрасно защищенной системы OpenBSD за недостаточную заботу о пользовательских данных.

Убить файловую систему UFS для меня не составляло проблем (например,отключением питания). Не знаю, как после такого прекрасно защищенная система загрузится

Delles · Сообщение **Delles** » 18 янв 2016, 14:14

Я и говорю: shit happens, форс-мажоры etc.

notauser · Сообщение **notauser** » 18 янв 2016, 16:15

Delles писал(а):
Barmalei писал(а):Ну это уже паранойя по моему у вас начинается.
Нормально. Жаль, у нас клеток (jails) нет.

Delles писал(а):Если у Вас есть еще предложения, помимо уже упомянутого SELinux, то милости просим.

Есть у меня. Docker (+ subuser) самое оно для gui-приложений. При этом проблемы с безопасностью, что в jail, что в docker примерно одинаковые.
http://ru.fedoracommunity.org/content/d ... ет-firefox

Delles · Сообщение **Delles** » 18 янв 2016, 16:25

По ссылке Docker (в самом конце статьи) дискредитировали.

notauser · Сообщение **notauser** » 18 янв 2016, 19:10

Не docker, а способ запуска контейнеров.
Просто не добавляйте в группу docker тех пользователей ОС, которым не доверяете. Да и в другие группы с повышенными привилегиями то же. Это позволит уменьшить вероятность поднятие привилегий пользователем.

Delles · Сообщение **Delles** » 18 янв 2016, 21:13

notauser писал(а):Не docker, а способ запуска контейнеров.
Просто не добавляйте в группу docker тех пользователей ОС, которым не доверяете. Да и в другие группы с повышенными привилегиями то же. Это позволит уменьшить вероятность поднятие привилегий пользователем.

Ясно. Почитал про него. Да, это вам не ~~Рио-де-Жанейро~~ простой и понятный vb. Но понятно, что «клетки» для подозрительных софтин им соорудить можно.

Но как быть с никому не нужными пользовательскими данными (кроме самих юзеров, для которых они подчас важнее, чем всё остальное)? Ведь крах системы — это для юзера потеря 15 минут на переустановку (если образ из ежедневных, то и обновляться не нужно), плюс еще пара часов на доустановку и основную настройку. А утрата своих данных — это потеря лет и десятилетий работы, подрыв личной безопасности и т.д. Как всё это страховать-перестраховывать? Бэкап — понятно, но бэкап — для архивных данных. А данные о важных эккаунтах, документы? Их ведь важно не забэкапить, а засекретить. Опередить шифровальщика и самому всё зашифровать?

Delles · Сообщение **Delles** » 19 янв 2016, 01:32

В общем, конфиденциальные файлики зашифровал:

Код: Выделить всё

gpg -c файл

— расшифрование:

Код: Выделить всё

gpg файл.gpg

и всё, как обычно, забэкапил на внешний хард:

Код: Выделить всё

rsync -arthp --delete --exclude='lost+found/' /home/ /media/dell/*/home/

Теперь можно спать спокойно.

trs · Сообщение **trs** » 19 янв 2016, 04:15

Есть ещё удобная штука - сканер отпечатков. Пароли можно не запоминать. Для доступа хватит лишь пальца. Даже его хозяин не обязателен.

notauser · Сообщение **notauser** » 20 янв 2016, 17:56

"Вредоносная программа для ОС Linux, предназначенная для создания снимков экрана на инфицированном компьютере с периодичностью 30 секунд. Может загружать на управляющий сервер содержимое папки /tmp. Также с сервера могут поступать команды на загрузку произвольных файлов."
http://vms.drweb.ru/virus/?i=7924647&lng=ru

Delles · Сообщение **Delles** » 20 янв 2016, 18:27

notauser писал(а):"Вредоносная программа для ОС Linux, предназначенная для создания снимков экрана на инфицированном компьютере с периодичностью 30 секунд. Может загружать на управляющий сервер содержимое папки /tmp. Также с сервера могут поступать команды на загрузку произвольных файлов."
http://vms.drweb.ru/virus/?i=7924647&lng=ru

Перед словами "После запуска" в описании явно что-то пропущено… О главном — способе проникновения и запуска — Доктор умолчал.

Barmalei · Сообщение **Barmalei** » 20 янв 2016, 18:47

Да узбогойтесь. Все вирусы на Линукс, да и на Вынь качает и ставит сам юзвер.
На сервер воруют ФТП доступы.

trs · Сообщение **trs** » 21 янв 2016, 07:12

Barmalei писал(а):Все вирусы на Линукс, да и на Вынь качает и ставит сам юзвер.

А что же тогда такое "эксплоит"?

Barmalei · Сообщение **Barmalei** » 21 янв 2016, 09:47

trs писал(а):
Barmalei писал(а):Все вирусы на Линукс, да и на Вынь качает и ставит сам юзвер.
А что же тогда такое "эксплоит"?

Ну в моей жизни я не встречал их на компе. На сайтах ищут дыры бывает и заливают свои ссылки.

Delles · Сообщение **Delles** » 26 янв 2016, 14:57

Кен Старкс постебался над (анти)вирусами в Линуксе. Он пишет, что ему советовали использовать ClamAV и отмечает, что выделяет слово «советовали», потому что советовавшие сами его не использовали. Тогда он решил пойти самым надежным путем: спросить совета у своего давнего приятеля Майка Джестера! Майк сказал: «Don’t screw around» (можете посмотреть, как эту фразу переводит на русский ГуглПереводчик), «поставь Avast for Linux». Кен поставил. Аваст нашел у него вирус! — 4.2kb ico file. Можете его инспектировать, пишет Кен. В общем, триллер.

notauser · Сообщение **notauser** » 26 янв 2016, 18:31

Это разве триллер. Здесь триллер.
25 Mar 2015
У Barmalei "DrWEB" удалил libgcrypt
Это LGPL-библиотека шифрования — библиотека времени выполнения libgcrypt включает в себя функции шифрования. В ней реализовано множество
важных свободных шифров, хеш-алгоритмов и алгоритмов подписи публичных ключей: Arcfour, Blowfish, CAST5, DES, AES, Twofish, Serpent, rfc2268 (rc2), SEED, Camellia, IDEA, Salsa, CRC, MD4, MD5, RIPE-MD160, SHA-1, SHA-256, SHA-512, Tiger, Whirlpool, DSA, DSA2, ElGamal, RSA, ECC.

2015-11-05
"DrWEB" добавил в свои базы "Троянец-шифровальщик для Linux, написан на языке C с использованием криптографической библиотеки PolarSSL."

Действительно, зачем в Linux иметь libgcrypt, если "Троянец-шифровальщик для Linux" использует свою библиотеку? Но, внезапно, без libgcrypt Linux вообще не работает.

Barmalei · Сообщение **Barmalei** » 26 янв 2016, 18:35

Зато тогда они убрали ложное срабатывание и может пострадали не многие. Все равно кто-то покупает его для Линь.

notauser · Сообщение **notauser** » 26 янв 2016, 18:39

Продолжая тему триллера: можно воспринять как попытку лишить Linux криптографической библиотеки перед "эпидемией".

Delles · Сообщение **Delles** » 26 янв 2016, 18:46

Линукс — умничка, конечно, что сразу же отказался работать без этой библиотеки.

Barmalei · Сообщение **Barmalei** » 26 янв 2016, 19:03

Delles писал(а):Линукс — умничка, конечно, что сразу же отказался работать без этой библиотеки.

Он работал без него. После перезагрузки он грузиться не захотел.

notauser · Сообщение **notauser** » 26 янв 2016, 19:12

Systemd зависит от libgcrypt. Поэтому ОС работала до запуска системы инициализации (перезагрузка, включение). Возможно поломалось управление службами и т.п.
Если интересно.
В deb-based дистрибутивах libgcrypt - рre-depends.
"«Пред-зависимость» — это особый тип зависимости. Для большинства пакетов файлы-архивы (то есть файлы .deb) dpkg распаковывает независимо от того, существуют ли в системе файлы, от которых они зависят, или нет. Сильно упрощённо эту распаковку можно представить как извлечение файлов из файла-архива и помещение каждого из них в положенное место в файловой системе. Если такой пакет зависит от наличия других пакетов в системе, то dpkg откажется завершать установку (то есть откажется выполнять действие «configure»), пока не будут установлены другие пакеты.
Однако, некоторые пакеты dpkg даже не будет распаковывать, пока не будут разрешены некоторые зависимости. Про такие пакеты говорят, что они имеют «предварительную зависимость» от наличия некоторых других пакетов. Этот механизм предоставляется в Debian для поддержки безопасного перехода систем с формата a.out на ELF, когда критична очерёдность распаковки пакетов. Существуют и другие варианты больших обновлений, где этот приём также полезен, например для пакетов с приоритетом «необходимый», когда они зависят от LibC." https://www.debian.org/doc/manuals/debi ... cs.ru.html
К сведению: sysvinit не зависит от libgcrypt вообще. Сработай анитивирь в такой системе, она бы, скорее всего, загрузилась и даже как-то работала. В "DrWEB" не подумали про systemd?

Delles · Сообщение **Delles** » 26 янв 2016, 19:31

В DrWeb работают гентушники

trs · Сообщение **trs** » 27 янв 2016, 09:29

notauser писал(а): У Barmalei "DrWEB" удалил libgcrypt
Это LGPL-библиотека шифрования — библиотека времени выполнения libgcrypt включает в себя функции шифрования.

Известная общая проблема сигнатурного анализа, по-видимому, DrWEB попал под выгодное для кого-то положение звёзд. Если внимательно следить за новостями в этой области, можно даже этого "кого-то" определить.

VictorK · Сообщение **VictorK** » 20 фев 2016, 09:39

Доброго всем дня.
Прошу помощи у Гуру.
ROSA R7. FF 44.0.2
ClamAV 0.99 выдает:

LibClamAV Warning: SWF: declared output length != inflated stream size, 128071 != 132035
/home/sysadmin/.cache/mozilla/firefox/2xq6aifm.default/cache2/entries/F40DD654AAF5B5FE6638F0285F98D7F15F18408D: Html.Exploit.CVE_2015_6162 FOUND
LibClamAV Warning: fmap: map allocation failed
LibClamAV Error: CRITICAL: fmap() failed

Как с этим бороться?
Комп рабочий, в сети присутствуют РС и серверы с виндой.

Заранее признателен.

Xakep · Сообщение **Xakep** » 20 фев 2016, 10:37

Код: Выделить всё

sudo rm -f /home/sysadmin/.cache/mozilla/firefox/2xq6aifm.default/cache2/entries/F40DD654AAF5B5FE6638F0285F98D7F15F18408D

VictorK · Сообщение **VictorK** » 20 фев 2016, 13:05

Моя признательность Хакеру!