Появился вирус-шифровальщик для Linux

[Mimas]

Источник: http://lenta.ru/news/2015/11/08/drweb/
Хотелось бы знать мнение специалистов, кто что может добавить, на сколько всё это реально? Только ли серверные системы могут поражаться? Все ли дистрибутивы в одинаковой степени могут быть подвержены этому?
Заранее благодарен за ответы.

[Skull]

"При запуске с правами суперпользователя..." Дальше про банальный троян не мог читать. Это не вирус, он не размножается. А с чрутнутыми службами Альт Линукса нужно сильно постараться заразить машину. Для обычных пользователей скорее метеорит на голову упадёт.

[asy]

Заранее благодарен за ответы.

Skull правильно написал, ничего нового. Черви, заползающие через слабые пароли по ssh, или на web-сервера через дырки в CMS давно известны. А тут просто добавлен функционал. Последствия будут зависеть от уровня доступа пользователя, под которым попали в систему. Разумеется, данные, в пределах прав доступа, зашифровать можно. Но вот то, что описано, подразумевает никак не меньше, чем попадание с правами суперпользователя, что невозможно в нормальной ситуации, если только в системе нет доступного локального root-эксплоита. Это, в общем-то, случается (ошибки, допускающие повышение привилегий), но совсем не часто, и, как правило, очень быстро фиксится.

[alsoijw]

Надо же доктор веб продавать. Как же без рекламы.

[yaleks]

если только в системе нет доступного локального root-эксплоита. Это, в общем-то, случается (ошибки, допускающие повышение привилегий), но совсем не часто, и, как правило, очень быстро фиксится.

только юзеры должны систему и ядро обновлять 
И уметь fail2ban настраивать (хотя он сейчас не всегда эффективен, т.к. долбят с разных IP, но с единым центром управления).

[rits]

Надо же доктор веб продавать. Как же без рекламы.

Проверять на вирусы нужно и почту и шары если работаешь с группой людей. Не все пользуются Linux на десктопах. У меня жена из под альтов зашла в контакты через мозилу и подключила (видимо скрипт троянский сработал) мне на USB модем подписку, обнулив остаток на счете. Заметил только когда в личный кабинет зашел. А у обычного пользователя есть некоторые привилегии которых достаточно, чтобы гадостей наделать. Себя можно защитить и без антивирусов, а вот за всеми не уследишь нужна автоматизация.

[Koi]

В настоящее время специалисты компании «Доктор Веб» работают над технологией, позволяющей с некоторой долей вероятности расшифровать данные, зашифрованные вредоносной программой.

Сами зашифровали, сами расшифровывают. 
Если он шифрует весь корень, этож какую нагрузку на проц дает?

Dr.Web делает приличный антивирус для линукса, пусть развлекаются такой продукт должен быть.

[Антон Мидюков]

У меня жена из под альтов зашла в контакты через мозилу и подключила (видимо скрипт троянский сработал) мне на USB модем подписку, обнулив остаток на счете. Заметил только когда в личный кабинет зашел.

Модем штука опасная. По невнимательности можно через интернет, что угодно подключить, и антивирусники, как правило, от этого не спасают. В-общем, эта лазейка операторами сотовой сети сделана, и только они её могут убрать. Но не убирают...

[alsoijw]

Проверять на вирусы нужно и почту и шары если работаешь с группой людей. Не все пользуются Linux на десктопах. У меня жена из под альтов зашла в контакты через мозилу и подключила (видимо скрипт троянский сработал) мне на USB модем подписку, обнулив остаток на счете. Заметил только когда в личный кабинет зашел. А у обычного пользователя есть некоторые привилегии которых достаточно, чтобы гадостей наделать. Себя можно защитить и без антивирусов, а вот за всеми не уследишь нужна автоматизация.

Что нужно сделать, чтоб подключить на USB модем подписку?

[Антон Мидюков]

Что нужно сделать, чтоб подключить на USB модем подписку?

Нажать ссылочку и подтвердить своё согласие на подписку. Читать надо внимательно, перед тем как ок нажимать. Я модемом уже два года не пользуюсь. Помню один раз на такую ссылку попался, ответил нет и никаких проблем. А мог бы и не прочитать. Бывает же такое иногда, что бездумно жмём ок.

[ARHAN]

 

Код: [Выделить]

В-общем, эта лазейка операторами сотовой сети сделана, и только они её могут убрать. Но не убирают На YOTA нет такой лазейки,там не пропускают это.На мегафоне я тоже ловил подписку,оператор спецом наверно не закрывает эту бодягу,им же денежки с этого капают.

[alsoijw]

Что нужно сделать, чтоб подключить на USB модем подписку?

Нажать ссылочку и подтвердить своё согласие на подписку. Читать надо внимательно, перед тем как ок нажимать. Я модемом уже два года не пользуюсь. Помню один раз на такую ссылку попался, ответил нет и никаких проблем. А мог бы и не прочитать. Бывает же такое иногда, что бездумно жмём ок.

От этого антивирус не спасёт.

[StolbovDV]

Нажать ссылочку и подтвердить своё согласие на подписку. Читать надо внимательно, перед тем как ок нажимать. Я модемом уже два года не пользуюсь.

Получить подписку можно ни с чем не соглашаясь, а просто нажать, например, на кнопку для скачивания к.л. файла.

На мегафоне я тоже ловил подписку,оператор спецом наверно не закрывает эту бодягу,им же денежки с этого капают.

Лазейка очень просто закрывается через личный кабинет. Нужно создать отдельный счет для контент услуг и не пополнять его.

[yaleks]

Исследователи лаборатории Bitdefender проанализировали недавно анонсированное вымогательское вредоносное ПО Linux.Encoder.1, осуществляющее шифрование данных на серверах с Linux и FreeBSD, и нашли в нём серьёзный промах в организации процесса шифрования, позволяющий расшифровать данные без получения приватного ключа RSA. Результаты анализа послужили основой для написания Python-скрипта, автоматизирующего расшифровку и восстановление данных.

<...>

Суть ошибки разработчиков вредоносного ПО в том, что они использовали некриптостойкий генератор случайных чисел и оставили неизменным время модификации файла, т.е. данные о векторе инициализации AES. Оставленной информации оказалось достаточно для восстановления исходного ключа AES и позволило обойтись без дешифровки ключа с использованием метода RSA. Случайные значения для ключей и векторов инициализации получались через вызов rand() из стандартной библиотеки, который использует генератор псевдослучайных чисел, отталкивающийся от текущего системного времени. Системное время шифрования было сохранено в метаданных файла (время модификации файла), что позволяет восстановить состояние генератора случайных чисел и симулировать процесс формирования ключа на момент вредоносного шифрования.

Кроме того, стали известны подробности поражения серверов вредоносным шифровальщиком. Linux.Encoder.1 проникал в систему эксплуатируя уязвимость в платформе электронной коммерции Magento, позволяющую атакующему выполнить произвольный PHP-код на сервере.

[alsoijw]

http://www.opennet.ru/opennews/art.shtml?num=43299