Tag Archives: Linux

25,000 Linux and Unix Servers Compromised in Operation Windigo

Hacker Medic March 18, 2014 No Comments

Security researchers have released a paper documenting a large and complex operation, code named “Operation Windigo”. Since the campaign began in 2011, more than 25,000 Linux and Unix servers were compromised to steal Secure Shell (SSH) credentials, to redirect Web visitors to malicious content, and to send spam. Well-known organizations such as cPanel and Linux Foundation were confirmed victims. Targeted operating systems include OS X, OpenBSD, FreeBSD, Microsoft Windows, and various Linux distributions. The paper claims Windigo is responsible for sending an average of 35 million spam messages on a daily basis. This spam activity is in addition to more than 700 Web servers currently redirecting approximately 500,000 visitors per day to malicious content.

The paper lists three main malicious components (ESET detection names):

Linux/Ebury – an OpenSSH backdoor used to control servers and steal credentials
Linux/Cdorked – an HTTP backdoor used to redirect Web traffic
Perl/Calfbot – a Perl script used to send spam

Lengthy campaigns by malicious attackers have become commonplace. With the appropriate resources, motivation, and desire, attackers can obtain significant rewards for their efforts. While some campaigns focus on targeting specific organizations to identify and exfiltrate sensitive information, the goal here was financial gain, by way of Web redirects, spam, and drive-by-downloads.

Symantec protection

Symantec customers are protected against malware used in Operation Windigo with the following signatures:

IPS

System Infected: Festi Rootkit Activity

More details on ESET’s discovery of Operation Windigo is available on their blog.

?????????????? Linux ???

Hacker Medic November 28, 2013 No Comments

シマンテックは、「モノのインターネット」を狙う目的で設計されたと思われる新しい Linux ワームを発見しました。このワームは、従来のコンピュータだけでなく、さまざまな種類の小型のインターネット対応デバイスも攻撃する機能を備えています。家庭用ルーター、セットトップボックス、防犯カメラといったデバイスに通常搭載されているチップアーキテクチャごとに亜種が存在します。このようなデバイスへの攻撃はまだ確認されていないものの、その危険性があることに多くのユーザーは気付いていません。これは、自分が所有するデバイス上で Linux が稼働していることを知らないためです。

ワーム Linux.Darlloz は、PHP の脆弱性を悪用して自身を拡散します。ここで利用されているのは、「PHP の「php-cgi」に存在する情報漏えいの脆弱性」（CVE-2012-1823）で、2012 年 5 月にはパッチが公開されている古い脆弱性です。攻撃者は最近、2013 年 10 月末に公開された概念実証（PoC）コードに基づいてこのワームを作成したようです。

Linux.Darlloz は、実行されるとランダムに IP アドレスを生成し、よく使われている ID とパスワードの組み合わせでデバイス上の特定のパスにアクセスして、HTTP POST 要求を送信します。これが脆弱性を悪用しています。標的にパッチが適用されていない場合には、悪質なサーバーからワームをダウンロードして次の標的を探します。現在、このワームは Intel x86 系システムにしか感染しないようです。というのは、悪用コードのダウンロード URL が、Intel アーキテクチャ用の ELF バイナリにハードコード化されているからです。

Linux は、最もよく知られているオープンソース OS で、各種のアーキテクチャに移植されています。Intel ベースのコンピュータに限らず各種の CPU を搭載した小型デバイス、たとえば家庭用ルーターやセットトップボックス、防犯カメラから、産業用制御システムなどでも稼働しています。デバイスによっては、Apache Web サーバーや PHP サーバーなど、設定や監視に使う Web ベースのユーザーインターフェースも用意されています。

シマンテックは、この攻撃者が、同じサーバー上で ARM、PPC、MIPS、MIPSEL など Intel 以外のアーキテクチャ用の亜種をすでにホストしていることも確認しています。

図. ELF ヘッダーの “e_machine” 値を見ると、このワームが ARM アーキテクチャ用であることがわかる

これらのアーキテクチャのほとんどは、前述したようなデバイスで使われています。攻撃者は、Linux が稼働している各種のデバイスに攻撃範囲を広げることで、感染の可能性を最大限に拡大しようと試みているようですが、PC 以外のデバイスに対する攻撃はまだ確認されていません。

組み込みのオペレーティングシステムとソフトウェアを使うデバイスの製造元では、ユーザーに確認することなく製品を設定しているので、事態が複雑になっています。多くのユーザーは、家庭やオフィスで脆弱なデバイスを使っているとは認識していません。デバイスの脆弱性を仮にユーザーが認識していたとしても、製品によっては製造元から更新版が提供されないという別の問題もあります。これは、デバイスのメモリが不足していたり CPU が低速すぎたりして新しいバージョンのソフトウェアをサポートできないなど、旧式の技術やハードウェアの制限が原因となります。

Linux.Darlloz への感染を防ぐために、以下の処理を実行することをお勧めします。

ネットワークに接続されているすべてのデバイスを確認する。
デバイスのソフトウェアを最新のバージョンに更新する。
デバイスで使用できる場合には、セキュリティソフトウェアを更新する。
デバイスに強力なパスワードを設定する。
以下のパスに対する着信 HTTP POST 要求が不要な場合には、ゲートウェイまたは各デバイスで遮断する。

-/cgi-bin/php
-/cgi-bin/php5
-/cgi-bin/php-cgi
-/cgi-bin/php.cgi
-/cgi-bin/php4

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Linux Worm Targeting Hidden Devices

Hacker Medic November 27, 2013 No Comments

Symantec has discovered a new Linux worm that appears to be engineered to target the “Internet of things”. The worm is capable of attacking a range of small, Internet-enabled devices in addition to traditional computers. Variants exist for chip architectures usually found in devices such as home routers, set-top boxes and security cameras. Although no attacks against these devices have been found in the wild, many users may not realize they are at risk, since they are unaware they own devices that run Linux.

The worm, Linux.Darlloz, exploits a PHP vulnerability to propagate itself in the wild. The worm utilizes the PHP ‘php-cgi’ Information Disclosure Vulnerability (CVE-2012-1823), which is an old vulnerability that was patched in May 2012. The attacker recently created the worm based on the Proof of Concept (PoC) code released in late Oct 2013.

Upon execution, the worm generates IP addresses randomly, accesses a specific path on the machine with well-known ID and passwords, and sends HTTP POST requests, which exploit the vulnerability. If the target is unpatched, it downloads the worm from a malicious server and starts searching for its next target. Currently, the worm seems to infect only Intel x86 systems, because the downloaded URL in the exploit code is hard-coded to the ELF binary for Intel architectures.

Linux is the best known open source operating system and has been ported to various architectures. Linux not only runs on Intel-based computers, but also on small devices with different CPUs, such as home routers, set-top boxes, security cameras, and even industrial control systems. Some of these devices provide a Web-based user interface for settings or monitoring, such as Apache Web servers and PHP servers.

We have also verified that the attacker already hosts some variants for other architectures including ARM, PPC, MIPS and MIPSEL on the same server.

Figure: The “e_machine” value in ELF header indicates the worm is for ARM architecture.

These architectures are mostly used in the kinds of devices described above. The attacker is apparently trying to maximize the infection opportunity by expanding coverage to any devices running on Linux. However, we have not confirmed attacks against non-PC devices yet.

Vendors of devices with hidden operating systems and software, who have configured their products without asking users, have complicated matters. Many users may not be aware that they are using vulnerable devices in their homes or offices. Another issue we could face is that even if users notice vulnerable devices, no updates have been provided to some products by the vendor, because of outdated technology or hardware limitations, such as not having enough memory or a CPU that is too slow to support new versions of the software.

To protect from infection by the worm, Symantec recommends users take the following steps:

Verify all devices connected to the network
Update their software to the latest version
Update their security software when it is made available on their devices
Make device passwords stronger
Block incoming HTTP POST requests to the following paths at the gateway or on each device if not required:

-/cgi-bin/php
-/cgi-bin/php5
-/cgi-bin/php-cgi
-/cgi-bin/php.cgi
-/cgi-bin/php4

?????????????? Linux ?????

Hacker Medic November 14, 2013 No Comments

今年 5 月、攻撃者が巧妙な手口を使って、大手のインターネットホスティングプロバイダに侵入し、内部の管理システムへのアクセスに成功しました。この攻撃者は、ユーザー名、電子メールアドレス、パスワードなどの顧客情報を狙っていたようです。内部の管理システムから顧客情報にアクセスしていましたが、攻撃が露見し、一定のセキュリティも実装していたため、侵害の範囲は抑えられました。顧客のパスワードはアクセス可能でしたが、ハッシュ化と salt 処理が行われていたため大量クラッキングは困難な状態でした。また顧客の財務情報にもアクセス可能でしたが、暗号化されていました。残念ながら、暗号化キーへのアクセスを防ぐことはできません。企業に対するデータ侵害と顧客データの大量ダンプがほぼ毎日のように報告されていますが、今回の攻撃はこれまでよりはるかに巧妙です。

攻撃者は、標的の環境が通常は十分に保護されていることを把握していました。特に、疑わしいネットワークトラフィックやファイルのインストールがあるとセキュリティ確認のきっかけになることがあるため、そのようなトラフィックやインストールを回避する方法が必要でした。その巧妙さを示すように、攻撃者はステルス性を備えた独自の Linux バックドアを考案し、セキュアシェル（SSH）や他のサーバープロセス内に自身を忍ばせていました。

攻撃者は、このバックドアを利用して（リモートコマンドの実行など）通常の機能を実行できますが、ここではネットワークソケットを開いたり、コマンド & コントロール（C&C）サーバーへの接続を試みたりすることはありません。代わりに、バックドアコードを SSH プロセスにインジェクトし、ネットワークトラフィックを監視してコロン、感嘆符、セミコロン、ピリオド（:!;.）という文字のシーケンスを探します。

このパターンが見つかると、バックドアは残りのトラフィックを解析し、Blowfish で暗号化され Base64 エンコードされたコマンドを抽出します。

図. インジェクトされるコマンドの例

こうすると、攻撃者は SSH やその他のプロトコルを介して通常の接続要求を行い、正規のトラフィック内に秘密のシーケンスを埋め込んで検出を回避できるようになります。コマンドが実行されると、結果が攻撃者に送り返されます。このバックドアコードは、セキュリティレスポンスがこれまでに解析してきた他の Linux バックドアと類似性はありません。

断片化されたファイルがライブラリを共有し、多くの関数をフックしているようです（read、EVP_CipherInit、fork、ioctl など）。コードが実行されると、以下の操作が実行されます。

以下の形式で、攻撃者が発行した任意のコマンドを実行する。
exec sh -c ‘[攻撃者のコマンド]’ >/dev/null 2>/dev/null
事前に設定されたコマンドのいずれかを実行し、そのコマンドから出力を取得する。
個々の SSH 接続から以下のデータを取得する。
- 接続しているホスト名、IP アドレス、ポート
- ユーザー名とパスワードまたは SSH キー
盗み出したデータまたはコマンドの応答を blowfish で暗号化し、攻撃者に送信する。

このバックドアがネットワークに存在するかどうかを特定するには、”:!;.” という文字列（引用符を除く）が含まれるトラフィックを探してください。この文字列を含むトラフィックは、SSH ログには記録されません。SSHD プロセスをダンプし、その中から以下の文字列を検索する方法もあります（[値] はさまざまな値を示します）。

key=[値]
dhost=[値]
hbt=3600
sp=[値]
sk=[値]
dip=[値]

シマンテックは、このバックドアを Linux.Fokirtor として検出し、お客様を保護します。

Linux Back Door Uses Covert Communication Protocol

Hacker Medic November 13, 2013 No Comments

In May of this year, sophisticated attackers breached a large Internet hosting provider and gained access to internal administrative systems. The attackers appear to have been after customer record information such as usernames, emails, and passwords. While these internal administrative systems had access to customer records, discovery of the attack and certain security implementations mitigated the scope of the breach. Customer passwords were accessible, but these passwords were hashed and salted making mass password cracking difficult. Customer financial information was also accessible, but encrypted. Unfortunately, access to the encryption key cannot be ruled out. While breaches of organizations and mass customer record dumps are posted almost daily, this particular attack was more sophisticated than we have seen in the past.

The attackers understood the target environment was generally well protected. In particular, the attackers needed a means to avoid suspicious network traffic or installed files, which may have triggered a security review. Demonstrating sophistication, the attackers devised their own stealthy Linux back door to camouflage itself within the Secure Shell (SSH) and other server processes.

This back door allowed an attacker to perform the usual functionality—such as executing remote commands—however, the back door did not open a network socket or attempt to connect to a command-and-control server (C&C). Rather, the back door code was injected into the SSH process to monitor network traffic and look for the following sequence of characters: colon, exclamation mark, semi-colon, period (“:!;.”).

After seeing this pattern, the back door would parse the rest of the traffic and then extract commands which had been encrypted with Blowfish and Base64 encoded.

Figure. Example of injected command

The attacker could then make normal connection requests through SSH or other protocols and simply embed this secret sequence within some otherwise legitimate traffic to avoid detection. The commands would be executed and the result sent back to the attacker. This back door code is not similar to any other Linux back door that Security Response has previously analysed.

The fragmented file is a shared library and appears to hook a number of functions (read, EVP_CipherInit, fork, ioctl, etc.). Once the code is activated, it can perform the following actions:

Execute any command the attacker submits through;
exec sh -c ‘[ATTACKER_COMMAND]’ >/dev/null 2>/dev/null
Execute one of several preconfigured commands and retrieve output from those commands
Retrieve the following data from individual SSH connections:
- Connecting hostname, IP address, and port
- Username and password or SSH key
Encrypt stolen data or command responses using blowfish, and then send to attacker

To identify the presence of this back door on your network, look for traffic that contains the “:!;.” string (excluding quotes). Traffic which contains this string will not appear in SSH logs. Another identification method is to dump the SSHD process and search for the following strings within the dump (where [VALUE] can be various values):

key=[VALUE]
dhost=[VALUE]
hbt=3600
sp=[VALUE]
sk=[VALUE]
dip=[VALUE]

Symantec protects customers by detecting this back door as Linux.Fokirtor.

Linux Trojan “Hand of Thief” ungloved

Avast Blog August 27, 2013 No Comments

A new threat for the Linux platform was first mentioned on August 7th by RSA researchers, where it was dubbed Hand of Thief. The two main capabilities of this Trojan are form-grabbing of Linux-specific browsers and entering a victim’s computer by a back-door. Moreover, it is empowered with features like anti-virtualization and anti-monitoring. With the […]

Android ?????? Linux ????????

Hacker Medic June 12, 2013 No Comments

マルウェア作成者は、新しい脆弱性が一般に公開されると、すぐにそれを悪用しようとします。最近 Performance Counters for Linux（PCL）で見つかった、Linux Kernel Local Privilege Escalation Vulnerability（Linux カーネルのローカル特権昇格の脆弱性）（CVE-2013-2094）は、現在さまざまなプラットフォームで悪用されていますが、ついに Android オペレーティングシステム上で動作するように手が加えられました。

Android オペレーティングシステムに詳しくない方のために付け加えると、Android はオープンソースの Linux オペレーティングシステムをベースにしています。つまり、Linux カーネルベースの脆弱性が見つかると、その多くが Android デバイスでも悪用される可能性があるのです。ただし、Android デバイスでも種類が違えば、使われている Linux カーネルのバージョンも異なるため、ある特定の脆弱性の悪用の影響を受けるデバイスは限られるでしょう。

特権昇格の脆弱性の悪用は、サイバー犯罪者に侵入先のデバイスの完全制御を許してしまう可能性があるので特に危険です。Android オペレーティングシステムは通常、すべてのアプリケーションをサンドボックス化するため、どのようなアプリケーションでも、重要なシステム操作を実行したり、他のインストール済みのアプリケーションに干渉したりすることはできません。特権昇格の脆弱性を悪用したマルウェアの例としては、他のアプリケーションのデータにアクセスするもの、アンインストールを妨害するもの、マルウェア自身を隠すもの、さらには Android のアクセス許可モデルをすり抜けて、ユーザーの同意を得ることなくプレミアム SMS メッセージの送信などの操作を実行するものなどが、これまでに確認されています。

2011 年に Android.Rootcager に関するブログでも説明しましたが、特権昇格の脆弱性を突いた悪用はすぐにマルウェアに組み込まれるため、今回の脆弱性の悪用を組み込んだ Android マルウェアも近いうちに登場するでしょう。

シマンテックでは今後も、脆弱性を悪用しようとする脅威の状況を監視し続けます。この悪用の影響を受けるすべての Android デバイスに対してパッチが提供されるまでは、悪質なアプリケーションの被害を受けないためにも、アプリケーションをダウンロードしてインストールする際は、信頼できるマーケットプレイスを選ぶようにしてください。

お使いの Android デバイスが何らかの脅威に感染していると思われる場合は、ノートンモバイルセキュリティに最新の更新をダウンロードして、完全スキャンを実行してください。

Linux Kernel Exploit Ported to Android

Hacker Medic June 11, 2013 No Comments

Malware authors are notorious for quickly leveraging new exploits in the public domain for nefarious purposes. The recent discovery of a Linux Kernel CVE-2013-2094 Local Privilege Escalation Vulnerability (CVE-2013-2094) in the Performance Counters for…

????????????????? Linux Wiper ????

Hacker Medic March 21, 2013 No Comments

韓国の銀行と放送局が受けたサイバー攻撃については、第一報を本日すでにお伝えしました。その後、Linux コンピュータを消去する機能を持つ追加のコンポーネントもこの攻撃に使われていることが確認されました。

図 1. リモートの Linux コンピュータを標的にする bash wiper スクリプト

Trojan.Jokra のドロッパーには、リモートの Linux コンピュータを消去するモジュールが含まれています。複数のオペレーティングシステムで動作するコンポーネントが確認されることは珍しく、今回のように Linux コンピュータを消去するコンポーネントが Windows マルウェアの内部に仕掛けられているのは異例のことです。このモジュールは Windows 7 と Windows XP のコンピュータで mRemote というアプリケーションを探します。mRemote は、複数のプロトコルに対応したオープンソースのリモート接続マネージャです。mRemote アプリケーションは、接続を保存する設定ファイルを以下のパスで管理しています。

%UserProfile%\Local Settings\Application Data\Felix_Deimel\mRemote\confCons.xml

図 2. mRemote のパス情報の解析

Trojan.Jokra のドロッパーはこの XML ファイルを解析し、ルート権限で SSH プロトコルを使う接続を探します。そして、その接続で使われているパラメータを抽出します。

図 3. mRemote 設定ファイルの接続情報の解析

続いてドロッパーは新しいスレッドを生成し、bash スクリプトを %Temp%\~pr1.tmp に投下します。そのうえで、mRemote の設定ファイルから解析した接続情報を利用して、リモートの Linux コンピュータ上で /tmp/cups として、この一時ファイルをアップロードし、実行します。

図 4. リモートコマンドの実行

この bash スクリプトは、任意の Linux ディストリビューションで動作するように設計された wiper の一種です。SunOS、AIX、HP-UX の各ディストリビューションで特定のコマンドを使って実行されます。消去されるのは、/kernel、/usr、/etc、/home の各ディレクトリです。

シマンテックはこの攻撃の調査を続けており、詳しいことが判明し次第、更新情報をお届けする予定です。

Remote Linux Wiper Found in South Korean Cyber Attack

Hacker Medic March 20, 2013 No Comments

Earlier today we published our initial findings about the attacks on South Korean banks and local broadcasting organizations. We have now discovered an additional component used in this attack that is capable of wiping Linux machines.

Figure …