Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_PRELOAD для скрытия, opennews (ok), 10-Июн-22, (0) [смотреть все] Разделяемые библиотеки позволяют быстро исправлять ошибки - говорили они, не ш, n00by (ok), 08:45 , 10-Июн-22, (1) –23 // ну тут дело же в полученном изначально root-доступе, а не в самом механизме дина, Аноним (4), 08:50 , 10-Июн-22, (4) +19 // Дело в том, что я сейчас напишу читайте Хоглунда , а эксперты по руткитам полез, n00by (ok), 08:55 , 10-Июн-22, (6) +4 // Я эксперт, только что вернулся из поисковика При чём тут хоккей , Аноним (56), 12:41 , 10-Июн-22, (56) +7 Однофамилец того хоккеиста написал книжку про руткиты Описал решаемые ими задач, n00by (ok), 13:00 , 10-Июн-22, (61) +3 В тему , Аноним (-), 17:54 , 10-Июн-22, (100) +1 Это что, для маздая Очень тематично пля, мне очень интересно как гадить в NTшны, Аноним (-), 18:38 , 10-Июн-22, (102) –1 p s я буду рефрешить коменты до ответа Я буду рефрешить коменты до ответа Я б, Аноним (-), 18:39 , 10-Июн-22, (103) +2 Ответа кому Смысл вести с вами дискуссии На что вы, господа безымянные теорети, n00by (ok), 09:52 , 11-Июн-22, (127) Может, это те ребята, которые пишут Dow do I wrote root kit for Linux на Stac, InuYasha (??), 10:22 , 11-Июн-22, (131) +1 Вы хотеть, пожалуйста, посетить эту ссылка https github com search q linux roo, n00by (ok), 11:21 , 11-Июн-22, (138) Понимаешь, человек, от ТЕБЯ много СПАМА Бесполезного и или офтопичного Ты спам, Аноним (-), 19:46 , 11-Июн-22, (168) Я отвечаю на твои бессмысленные сообщения, поскольку мне с такими как ты придётс, n00by (ok), 11:55 , 12-Июн-22, (187) –1 Этот хак с LD_PRELOAD работает с правами обычного пользователя с правами которог, torvn77 (ok), 02:01 , 14-Июн-22, (223) Напоминаю Unix-way каждая программа хорошо делает своё дело 1 эксплоит - пол, n00by (ok), 07:54 , 14-Июн-22, (225) А не наоборот Впрочем в линуксе всё прекрасно тут вам и разделяемые библиотеки, Аноним (38), 11:43 , 10-Июн-22, (38) –2 // Unix way - одна программа не обсуждается в ветке хорошо получает рут доступ, д, n00by (ok), 12:02 , 10-Июн-22, (46) +5 Пакетный менеджер имеет свои плюсы Допустим в zlib нашли баг Я поставил патчен, Аноним (-), 21:21 , 10-Июн-22, (109) Исправил, не благодари, Аноним (-), 01:56 , 11-Июн-22, (125) –2 Нехрен арчем и гентой в проде пользоваться В нормальных дистрах майнтайнеры вот, Аноним (-), 19:51 , 11-Июн-22, (169) Накушался я этой стабильности в свое время Так, навскидку пример дебиан то ли , Аноним (220), 20:24 , 13-Июн-22, (220) Об этом должен беспокоиться разработчик конкретной программы, а не разработчик О, Аноним (38), 09:55 , 11-Июн-22, (128) +1 Единое окружение операционной системы собирает разработчик ОС, а не автор конкре, Аноним (141), 12:03 , 11-Июн-22, (141) Вот поэтому самая правильная схема -- ОС отдельно, программы отдельно , Аноним (38), 12:23 , 11-Июн-22, (144) +3 В этом месте возникает конфликт интересов Есть специальный человек - майнтайнер, n00by (ok), 16:14 , 11-Июн-22, (152) Дистрибутив AltMinixZverBD отдельно, Аноним (-), 17:33 , 11-Июн-22, (157) Не, спасибо, я видел как это в маздае работает Крайним почему-то я оказываюсь, , Аноним (-), 20:07 , 11-Июн-22, (172) Ну не знаю По-моему ситуация когда пользовательские приложения делят либы с о, Аноним (38), 21:09 , 11-Июн-22, (175) +1 А по моему 1 В моем случае деление на систему и пользовательские приложени, Аноним (-), 03:16 , 12-Июн-22, (181) А остальной код вы проверили, вдруг в других местах тоже есть уязвимости Запуск, Аноним (38), 14:07 , 12-Июн-22, (196) Заменив либу на фикшеную, можно ВСЁ поломать Классно поменяли , Neon (??), 03:42 , 13-Июн-22, (203) +2 Поздравляю, ты изобрел FreeBSD с ее делением на distributions и ports, Аноним (220), 20:31 , 13-Июн-22, (221) Спасибо, теперь я понял эти постоянные нападки на BSD В GNU Linux именно свобод, n00by (ok), 08:10 , 14-Июн-22, (226) За что, среди прочего, фряху и люблю Есть минимальный набор из загрузчика, ядра, Аноним (-), 17:26 , 14-Июн-22, (228) Что бы что-то перехватить в монолитном исполняемом файле, врезать инструкции пер, n00by (ok), 17:55 , 14-Июн-22, (230) Проблема в том что в результате 1 Все отдано на откуп легиону каких-то раздолба, Аноним (-), 20:04 , 11-Июн-22, (171) Ну так не пользуйся ненужным, в чем проблема-то Если найдется уязвимость в како, Аноним (-), 17:35 , 14-Июн-22, (229) А еще злодей может имя файла использовать левое, название процесса непаливное на, Аноним (-), 18:42 , 10-Июн-22, (104) +1 Жаль, что не получается составить список экспертов Стесняются отметиться явно , n00by (ok), 10:21 , 10-Июн-22, (12) // busybox, Аноним (-), 11:02 , 10-Июн-22, (19) // Ход мыслей правилен, но уровень абстракции не тот См ldd which busybox , n00by (ok), 11:27 , 10-Июн-22, (26) Статически слинкован, например с каким-нибудь экзотическим libc, который в добав, Аноним (-), 11:31 , 10-Июн-22, (30) +2 Да, это решение Но фанаты не одобряют , n00by (ok), 11:36 , 10-Июн-22, (32) +1 Это решение только проблемы с LD_PRELOAD А злоумышленник с рутом так и сидит в , Аноним (-), 11:41 , 10-Июн-22, (36) +2 Что и обсуждается в данной ветке , n00by (ok), 11:57 , 10-Июн-22, (42) В какой, в которой ключи ищут , Аноним (-), 12:14 , 10-Июн-22, (50) В ветке, которая началась с моего сообщения 8470 1 Оно так понравилось экспер, n00by (ok), 12:22 , 10-Июн-22, (53) Если обсуждают, что угодно, то изначальный тезис противоречивый, то есть троллин, Аноним (-), 12:35 , 10-Июн-22, (55) Противоречий в тезисе нет Цитата в кавычках верна, проблема с ошибками в библ, n00by (ok), 13:02 , 10-Июн-22, (62) –1 Вопросов больше не имею, Аноним (-), 13:30 , 10-Июн-22, (70) Вот и не надо зафлуживать ветку, если сказать по сути нечего Затроллили его, бе, n00by (ok), 13:38 , 10-Июн-22, (72) –1 А если разрешать подгрузку только таких библиотек, у которых есть цифровая подпи, Аноним (20), 11:04 , 10-Июн-22, (20)   // Что мешает подписать, если уже есть root-доступ , Аноним (-), 11:09 , 10-Июн-22, (21) +1   Так подписи будет раздавать RHBM , n00by (ok), 11:15 , 10-Июн-22, (22) +2   Не знаю кто это, но проверять тоже он будет или система, в которой кто-то шаритс, Аноним (-), 11:21 , 10-Июн-22, (23) +1   Куда именно добавил , n00by (ok), 11:24 , 10-Июн-22, (24)   В систему, которая проверяет , Аноним (-), 11:26 , 10-Июн-22, (25)   Куда именно в систему, которая проверяет , n00by (ok), 11:28 , 10-Июн-22, (27)   Куда надо Конкретика должна исходить от того, кто предложил способ защиты злоум, Аноним (-), 11:39 , 10-Июн-22, (35)   Защищающийся должен защитить систему Атакующему он ничего не должен , n00by (ok), 11:58 , 10-Июн-22, (43)   Какой из пользователей с UID 0 защитник, какой - атакующий , Аноним (-), 12:01 , 10-Июн-22, (45)   Ищите ключи , n00by (ok), 12:04 , 10-Июн-22, (47)   К кому запрос, к пользователю - защитнику или атакующему, который нашел ключ , , Аноним (-), 12:12 , 10-Июн-22, (49)   Я понимаю, что ключ пока никто не нашёл Совсем нет вариантов , n00by (ok), 12:20 , 10-Июн-22, (52)   Злоумышленник с рутом - это кто Тот, кто не нашел ключ Пока нет конкретики, т, Аноним (-), 12:30 , 10-Июн-22, (54)   Вопрос в 8470 21 Что мешает подписать, если уже есть root-доступ Предложен , n00by (ok), 13:08 , 10-Июн-22, (63)   Хочешь сказать, ключей в системе нет Внесистемные инструменты Хотя, что мешает , Аноним (-), 13:27 , 10-Июн-22, (69)   Социальная инженерия не работает Не нашли ключи, не подписали, закрепиться пред, n00by (ok), 13:41 , 10-Июн-22, (74)   Еще один верный тезис Интересно, как в систему попали Защищающийся должен дока, Аноним (-), 14:05 , 10-Июн-22, (77)   Кто Вы Нафантазировали, что куда-то попали На этом фантазия закончилась Мне н, n00by (ok), 15:12 , 10-Июн-22, (82)   Потому что ты оффтопщик - админ подкроватного IIS-сервера, который сам не знает , Аноним (146), 12:59 , 11-Июн-22, (146)   Нет, ты не угадал, у меня нет IIS-сервера под кроватью Сначала расскажи, почему , n00by (ok), 13:33 , 11-Июн-22, (147)   Что мне находить Отключение integrity, когда у меня есть рут Прописывание в за, Аноним (-), 14:01 , 11-Июн-22, (148)   Теряешь контекст Требовал конкретику У меня она есть и давно в виде кода К да, n00by (ok), 15:57 , 11-Июн-22, (151)   Это ты давно потерял контекст Раздул проблему LD_PRELOAD до размеров слона Ты, Аноним (-), 16:55 , 11-Июн-22, (153)   Ты не проблема вовсе Если ты не готов к конструктивному диалогу по вопросу LD_P, n00by (ok), 18:50 , 11-Июн-22, (158)   Какой конструктив, если ты не даешь никакой конкретики Вместо этого скачешь то , Аноним (-), 19:03 , 11-Июн-22, (161)   Успокойся уже Сделай 10 вдохов Сделал Теперь читай дальше В 8470 21 ты соб, n00by (ok), 19:15 , 11-Июн-22, (163)   Руткит - это кит , который работает как рут С точки зрения системы ничем не , Аноним (-), 19:37 , 11-Июн-22, (167)   Аноним - это им я , которого нет С точки зрения системы у твоего мнения не, n00by (ok), 12:08 , 12-Июн-22, (188)   Пока-что я сам себе подписи на кернельные модули раздаю А в чем проблема так же, Аноним (-), 18:43 , 10-Июн-22, (105)   Для Вас не вижу проблем, коль сходу предлагаете решение Исходники открыты, можн, n00by (ok), 10:16 , 11-Июн-22, (129)   А кто будет проверять контролера , Neon (??), 03:45 , 13-Июн-22, (204)   Сами подписывайте, если никому не доверяете Исходники открыты, возможность есть, n00by (ok), 08:32 , 13-Июн-22, (209)   Подписывают на отдельном хосте, не подключенном к сети с рутуемыми серверами , Аноним (28), 11:28 , 10-Июн-22, (28) +2   Да, это один из вариантов Но надо понимать, что в прошлый раз в итоге развития , n00by (ok), 11:29 , 10-Июн-22, (29) +1   А если прямо им и воспользоваться, не мудрствуя лукаво , Аноним (20), 12:07 , 10-Июн-22, (48)   Полная версия идеи секурбута так то проверять ВСЕХ на цепочкеROM- бут- кернел- п, Аноним (-), 21:02 , 10-Июн-22, (107)   Предлагаешь отключить _dl_map_object_deps всем-всем-всем из юзерспейса с сискол, InuYasha (??), 10:51 , 11-Июн-22, (137) // Зачем сразу запрещать Было интересно, сколько возникнет подобных вопросов что, n00by (ok), 11:41 , 11-Июн-22, (139) Вот это уровень , Аноним (-), 16:59 , 11-Июн-22, (155) +1 А то Сджипиэлил из 30 не знает про всякие переменные окружения LD_ , n00by (ok), 19:02 , 11-Июн-22, (160) Научный подход security by obscurity в действии , Аноним (-), 19:19 , 11-Июн-22, (164) +1 Ну да Зеркало то работает Вон как ты себя разоблачаешь , n00by (ok), 19:25 , 11-Июн-22, (166) Строго говоря, замена одной неисправной библиотечки не является уязвимостью, ЕСЛ, Аристарх (??), 12:54 , 10-Июн-22, (60) –3 // Торвальдс написал ядро Здесь обсуждается механизм в пространстве пользователя , n00by (ok), 13:11 , 10-Июн-22, (66) +4 // Только в пространстве пользователя, любой пользователь полностью изолирован от в, Аноним (-), 13:40 , 10-Июн-22, (73) Самое удивительное, что руткит при этом не подгузится , n00by (ok), 13:47 , 10-Июн-22, (75) Как догадался, получил дамп выполненных в ring0 инструкций, проанализировал на в, Аноним (-), 14:16 , 10-Июн-22, (78) –1 Бывает Продолжайте собирать пакетики , n00by (ok), 15:11 , 10-Июн-22, (81) И что там надо увидеть То что, если поменять логику glibc, то glibc ведет себ, Аноним (146), 15:30 , 10-Июн-22, (83) С какой конкретно целью Вы пытаетесь произвести подмену предмета обсуждения в ве, n00by (ok), 15:43 , 10-Июн-22, (85) Если есть рут доступ, можно подменить вызовы glibc своим механизмом LD_PRELOA, Аноним (-), 15:58 , 10-Июн-22, (87) То есть цель озвучить не можете, но хотите пофлудить о сферическом коне в вакуум, n00by (ok), 16:16 , 10-Июн-22, (92) Продолжай скакать с ветки на ветку, обвиняя Вы пытаетесь произвести подмену пре, Аноним (-), 16:33 , 10-Июн-22, (94) Зер гуд, Вольдемар Я, я, дас штиммт Тебе полагается тёплый суп , n00by (ok), 10:20 , 11-Июн-22, (130) Может, ещё книжку для укладки на энтер услужливо подсовывающий Торвальдс не обид, Michael Shigorin (ok), 21:23 , 10-Июн-22, (110) +1 Да, позволяют Это ты смотрю не шибко понимаешь что такое разделяемые библиотеки , Аноним (90), 16:01 , 10-Июн-22, (90) // Чего мне понимать - в новости подробно описана разделяемая библиотека скрывают, n00by (ok), 16:20 , 10-Июн-22, (93) А таки позволяют И еще обеспечивают code reuse Мсье вероятно фанат игогошных б, Аноним (-), 18:35 , 10-Июн-22, (101) +1 // Некоторые, кстати, троянят procps, но не psmisc , Michael Shigorin (ok), 21:24 , 10-Июн-22, (111) // Это они не открыли Бритву Оккама - не надо прятать то, чего нет Есть же ещё оди, n00by (ok), 12:14 , 11-Июн-22, (142) Мсье, очевидно, теоретик У меня на Си std cout хелловорлд получался в , n00by (ok), 10:26 , 11-Июн-22, (132) +1 // ldd покажешь , Аноним (-), 17:09 , 11-Июн-22, (156) Она не понимает PE COFF , n00by (ok), 18:54 , 11-Июн-22, (159) В тему , Аноним (-), 19:12 , 11-Июн-22, (162) Ещё бы Ведь это _у_тебя_ исполняемый файл 6 гигабайт и масса руткитов закрепляе, n00by (ok), 19:20 , 11-Июн-22, (165) Ты не виляй хвостом, показывай импорты и экспорты или как у там у вас оффтопщико, Аноним (-), 20:01 , 11-Июн-22, (170) Зачем я буду что-то тебе показывать У меня нет давно Венды как и того экзешника, n00by (ok), 12:12 , 12-Июн-22, (189) Может ты сперва напишешь привет мир используя именно std cout , потом будешь, Аноним (146), 12:48 , 12-Июн-22, (193) Может ты внимательно прочтёшь 8470 132 У меня на Си std cout хелловорл, n00by (ok), 13:17 , 12-Июн-22, (194) Типичный оффтопщик, который пришел в тему про linux, и понтуется, что читал оффт, Аноним (146), 13:37 , 12-Июн-22, (195) Рекомендую тебе вести себя крайне осторожно, особенно с оценками, пока ты не осо, n00by (ok), 14:42 , 12-Июн-22, (197) Оценщик об оценках Держишь уровень , Аноним (146), 15:41 , 12-Июн-22, (198) Напоминаю, в 8470 101 ты описал свой маня-мирок, в котором хелловорлд весит 6, n00by (ok), 08:21 , 13-Июн-22, (208) Ты, давай, показывай свой привет с использованием include iostream , котор, Аноним (146), 09:09 , 13-Июн-22, (210) Ты мог бы уже сам найти, если бы умел немножко покликать мышкой и читать исходни, n00by (ok), 09:38 , 13-Июн-22, (212) Это std или поделка студента , который залез в namespace std Разве это не т, Аноним (146), 10:40 , 13-Июн-22, (213) Почему ты решил, что я буду объяснять тебе, что такое стандартная библиотека Си , n00by (ok), 11:20 , 13-Июн-22, (214) Потому что ты не знаешь, что такое стандартная библиотека Си Нельзя залезать, Аноним (146), 11:31 , 13-Июн-22, (215) Что бы я начал что-то тебе объяснять, тебе следует меня заинтересовать Вот сейч, n00by (ok), 13:19 , 13-Июн-22, (216) https eel is c draft namespace std 1На остальное, подтверждающее уровень, отв, Анонин (?), 13:54 , 13-Июн-22, (217) Потому что ты за свои слова отвечать не способен в принципе, как уже было с под, n00by (ok), 15:25 , 13-Июн-22, (219) Кстати, ты заметил, что ответил как Анонин - с н на конце Мне интересно, это , n00by (ok), 11:38 , 15-Июн-22, (231) Вот это в мире ненавистной Венды называется нубкит поскольку там перехват сис, n00by (ok), 08:47 , 10-Июн-22, (2) +5 // А не системные вызовы , Аноним (28), 11:34 , 10-Июн-22, (31) // Надысь тут один специалист по Венде спрашивал, что такое подсистема Win32 Так, n00by (ok), 11:49 , 10-Июн-22, (40) +2 диэлэл-хайджакин это называется в венде , Big Robert TheTables (?), 11:57 , 10-Июн-22, (41) +2 А кого интересует мир венды в котором ничерта толком не работает А дизайн с деф, Аноним (90), 16:00 , 10-Июн-22, (89) –1 // Да что там окна, попробуйте хотя бы инъекцию dll по Рихтеру сделать, что бы скры, n00by (ok), 16:03 , 10-Июн-22, (91) // У винды есть и некий почти полный эквивалент LD_PRELOAD через реестр вроде Хотя, Аноним (-), 23:06 , 10-Июн-22, (116) Там в реестре наверняка много всякого интересного, и даже тело трояна можно найт, n00by (ok), 10:34 , 11-Июн-22, (133) Ну вот сколько я себя помню, в винде всегда было более 9000 способов налететь на, Аноним (-), 20:25 , 11-Июн-22, (173) Вот именно, что чёрт знает Тут стоит читать не Хоглунда, а начинать с Рихтера, , n00by (ok), 12:34 , 12-Июн-22, (190) Цвет рамок окон, конечно, имеет прямейшее отношение к дискуссии , Аноним (96), 17:20 , 10-Июн-22, (96) +3 Поставь себе третьегном, не мучайся , Аноним (-), 00:58 , 11-Июн-22, (122) Так и не поймешь, трололо или фанбой из 90х, Аноним (227), 17:03 , 14-Июн-22, (227) Дальше будет только хуже , Аноним (3), 08:48 , 10-Июн-22, (3) –3 А ссылка на исходники где , Аноним (7), 08:55 , 10-Июн-22, (7) +6 // Насколько я могу помнить, исходные коды подобного программного обеспечения, как , Адмирал Майкл Роджерс (?), 13:12 , 10-Июн-22, (67) +6 когда мамкины хакепы полностью освоят ebpf, тогда линукс будет дырявее винды, Аноним (8), 09:41 , 10-Июн-22, (8) +2 // Но для пользования eDPF у нормальных пацанов нужен root А если есть root, то и , Аноним (28), 11:38 , 10-Июн-22, (34) +2 // Ага, только у приличных людей там ща подписи на модули навешены И тебе еще ключ, Аноним (-), 18:45 , 10-Июн-22, (106) // Далеко у всех приличных людей Подписывать модули это уже почти ракетная наука , Аноним (178), 23:19 , 11-Июн-22, (178) Эта ракетная наука для стоковых модулей вообше билдсистемой кернела ворочается с, Аноним (-), 03:29 , 12-Июн-22, (182) А кто будет проверять подписантам Или джентльменам принято верить на слово , Neon (??), 03:48 , 13-Июн-22, (205) Не будет Дырявее и корявее венды уже не будет ничего , Аноним (90), 15:58 , 10-Июн-22, (88) // Дырка номер 100500 в линупce, но плохая все равно винда Чотаржу, Аноним (-), 01:53 , 11-Июн-22, (124) +4 // Ты ещё далеко не все вендовые пересчитал , Аноним (178), 23:20 , 11-Июн-22, (179) –2 В винде не дыры, а отверстия , InuYasha (??), 11:04 , 12-Июн-22, (184) Еще никогда s Штирлиц s товарищ майор не был так близко к провалу с , EuPhobos (ok), 09:49 , 10-Июн-22, (9) +2 Офигенный вирус Реквестирую сырцы под копилефт лицензией , Аноним (11), 10:20 , 10-Июн-22, (11) +3 // root-доступ, который может быть получен, например, в результате эксплуатаци, Аноним (38), 10:40 , 10-Июн-22, (17) +1 уже ничего особенного, дыры типа как в polkit, Аноним (71), 13:36 , 10-Июн-22, (71) +4 Оригинально , Аноним (18), 10:49 , 10-Июн-22, (18) +1 Интересно, кто бы мог это написать и для чего ещё оно используется 129300 , Аноним (33), 11:38 , 10-Июн-22, (33) +3 // След русских хакеров , Аноним (28), 11:42 , 10-Июн-22, (37) –1 // Нанятых бразильским центробанком по поручению спецслужб , Аноним (-), 11:58 , 10-Июн-22, (44) +1 NSA, for example , Аноним (64), 13:09 , 10-Июн-22, (64) +2 Так Simbiote или Symbiote , Аноним (28), 11:44 , 10-Июн-22, (39) +2 Где скачать b , Аноним (51), 12:18 , 10-Июн-22, (51) +1 // У себя в ЛА-банке, очевидно , Michael Shigorin (ok), 21:28 , 10-Июн-22, (113) например, исключают отдельные элементы в списке процессов - вот почему бара, Аристарх (??), 12:46 , 10-Июн-22, (57) +1 // Да, как грамотный подход в BSD , Аноним (65), 13:09 , 10-Июн-22, (65) // Он обычно оказывается не от мира сего И единственная причина по которой джо неу, Аноним (-), 00:40 , 11-Июн-22, (121) +1 Пока кто-то не встроил свой фильтр в этот API и не оказалось, что системщик полу, Аноним (96), 17:23 , 10-Июн-22, (97) +3 Вы так и будете старательно доказывать, что лично Вам не натянуть даже кол нет,, Michael Shigorin (ok), 21:31 , 10-Июн-22, (114) –1 И каждый первый хацкер будет пытаться это апи перехватить Потому что нерушимый , Аноним (-), 23:13 , 10-Июн-22, (118) +1 Скрыто модератором, Neon (??), 03:50 , 13-Июн-22, (206) –1 // Скрыто модератором, hefenud (ok), 09:26 , 13-Июн-22, (211) А вот и встроенный бэкдор ёBPF снова пригодился , Онаним (?), 12:48 , 10-Июн-22, (58) +3 // Основной плюс ёBPF в том, что теперь бэкдоры могут одинаково хорошо работать на , Онаним (?), 12:49 , 10-Июн-22, (59) +6 // Вне контекста верно, но как я понимаю к данному бекдору не относится - в новости, solardiz (ok), 16:53 , 10-Июн-22, (95) +4 // То есть эта штука еще и патчер eBFP программ А вот это уже креативно, LD_PRELOA, Аноним (-), 21:06 , 10-Июн-22, (108) +2 Спасибо и подстановка дополнительного кода в загружаемые в ядро BPF-программы , Michael Shigorin (ok), 21:33 , 10-Июн-22, (115) +2 Да Спасибо И можно на ты , solardiz (ok), 00:28 , 11-Июн-22, (119) Развесистая штуковина Походу, толковые ребята писали , YetAnotherOnanym (ok), 13:14 , 10-Июн-22, (68) // Вы про eBPF , anonymous (??), 15:03 , 10-Июн-22, (80) +2 хакеры не спят, Аноним12345 (?), 13:53 , 10-Июн-22, (76) Хакер и солонка, гоквч (?), 14:44 , 10-Июн-22, (79) +2 почему никто ещё не задумался отчего такой путь обнаружен пока только в фин учре, Аноним (84), 15:34 , 10-Июн-22, (84) // жырно шо аж Михоил не стал клевать, mos87 (ok), 12:21 , 11-Июн-22, (143) Как такую срань найти , Andy (??), 21:26 , 10-Июн-22, (112) // Для начала зазырить переменные окружения любым известным вам способом и если там, Аноним (-), 23:09 , 10-Июн-22, (117) // Тут лучше не любым известным, а загрузив чистую систему с внешнего накопителя , n00by (ok), 10:47 , 11-Июн-22, (135) +1 // Дык при загрузке с флешки LD_Preload будет с флешкиА смотреть на всхаченной сист, Andy (??), 15:03 , 11-Июн-22, (149) +1 В чистой системе , n00by (ok), 15:52 , 11-Июн-22, (150) Как вариант, запустить что-либо с LD_PRELOAD и убедиться в том, что свой LD_PREL, швондер (?), 16:57 , 11-Июн-22, (154) Руткит фильтрует чтение из proc пид mapsПо поводу детекта замером времени испол, n00by (ok), 12:47 , 12-Июн-22, (192) у вас неверное понимание , швондер (?), 16:40 , 12-Июн-22, (199) +1 Я так полагаю, Вы где-то уже апробировали предлагаемую методику, раз такое заявл, n00by (ok), 08:10 , 13-Июн-22, (207) +1 Поскольку не последовало внятного объяснения, как предполагается обеспечить дост, n00by (ok), 08:15 , 16-Июн-22, (235) Классический способ по мотивам RootkitRevealer Руссиновича пишем приложение, ко, n00by (ok), 10:44 , 11-Июн-22, (134) +1 // Еще можно врубить мозг - и черт с ним с русиновичем - у нас тут линукс же Читае, Аноним (-), 20:35 , 11-Июн-22, (174) // К каким ножкам процессора подпаиваем принтер , n00by (ok), 12:45 , 12-Июн-22, (191) 1 Подписываешь чистые бинари и библиотеки 2 Запускаешь tail -f var log lo, Аноним (232), 15:15 , 15-Июн-22, (232) // Это всего лишь вопрос времени, когда руткиты начнут писать на накопитель в обход, n00by (ok), 15:46 , 15-Июн-22, (233) // А мы не только ФС в режиме только для чтения держим, но и само блочное устройств, Аноним (236), 19:28 , 23-Июн-22, (236) И запуск драйверов заблокировали И изучили накопленный опыт атак на альтернатив, n00by (ok), 06:48 , 24-Июн-22, (237) систему атакующий должен иметь root-доступ -- да уж, srgazh (ok), 00:28 , 11-Июн-22, (120) // рассказать способы, или сам загуглишь новости о многолетних дырах , Аноним (71), 21:33 , 11-Июн-22, (177) +1 // Расскажи мне Мне очень нужно 8ой ведроид рутануть , InuYasha (??), 11:26 , 12-Июн-22, (186) +2 Дальше не читал , pavlinux (ok), 01:09 , 11-Июн-22, (123) +1 // Зер гуд, Вольдемар , n00by (ok), 10:51 , 11-Июн-22, (136) –1 да хоть через дыры в polkit заиметь сейчас рут - вообще не проблема , Аноним (71), 21:32 , 11-Июн-22, (176) –1 // 3аймей, хyцкep йoпт https git kernel org , pavlinux (ok), 21:46 , 12-Июн-22, (202) +1 Хорошая реклама Где мне его взять , microsoft (?), 08:16 , 11-Июн-22, (126) // У Микрософта же https github com search q LD_PRELOAD rootkit, n00by (ok), 12:35 , 11-Июн-22, (145) неплохо, mos87 (ok), 11:44 , 11-Июн-22, (140) Решил поизучать сети Поставил в Ubuntu анализатор Wireshark При первом запуске , У меня вопрос (?), 23:59 , 11-Июн-22, (180) +5 // man dumpcap не пробовали Это прога из комплекта wireshark для захвата сетевог, Аноним (-), 03:39 , 12-Июн-22, (183) +5 // А я один юзер в системе, домашний комп D, Аноним (-), 20:45 , 12-Июн-22, (200) +4 // Нет, ты - один из юзеров в системе, который думает, что он - Один или един , Аноним (146), 14:11 , 13-Июн-22, (218) cat etc passwd, Аноним (220), 20:47 , 13-Июн-22, (222) А почему wireshark dumpcap через sudo не запускает , torvn77 (ok), 02:09 , 14-Июн-22, (224) Не знаю, я не пробовал Я запускаю Wireshark ярлыком , Аноним (-), 23:32 , 15-Июн-22, (234) +1 1,2,3,7,8,9,11,18,33,39,51,57,58,68,76,79,84,112,120,123,126,140,180

Сообщения

[Сортировка по времени | RSS]

	20. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (20), 10-Июн-22, 11:04
	А если разрешать подгрузку только таких библиотек, у которых есть цифровая подпись?
	Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

	21. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+1 +/–
	Сообщение от Аноним (-), 10-Июн-22, 11:09
	Что мешает подписать, если уже есть root-доступ?
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+2 +/–
	Сообщение от n00by (ok), 10-Июн-22, 11:15
	Так подписи будет раздавать RHBM. ;)
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+1 +/–
	Сообщение от Аноним (-), 10-Июн-22, 11:21
	> RHBM Не знаю кто это, но проверять тоже он будет или система, в которой кто-то шарится с рут-доступом (добавил свой свой сертификат и подписал им же - "доверенно")?
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 11:24
	Куда именно добавил?
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 11:26
	В "систему, которая проверяет"
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 11:28
	Куда именно в "систему, которая проверяет"?
	Ответить | Правка | Наверх | Cообщить модератору

	35. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 11:39
	Куда надо. Конкретика должна исходить от того, кто предложил способ защиты злоумышленника с рут-доступом.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 11:58
	Защищающийся должен защитить систему. Атакующему он ничего не должен.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 12:01
	Какой из пользователей с UID=0 защитник, какой - атакующий?
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 12:04
	Ищите ключи.
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 12:12
	> Ищите ключи. К кому запрос, к пользователю - защитнику или атакующему, который "нашел ключ", чтобы получить рут-доступ? Ты же понимаешь, что для "защиты" нужны внесистемные инструменты.
	Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

	52. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 12:20
	Я понимаю, что ключ пока никто не нашёл. Совсем нет вариантов?
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	54. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 12:30
	> Я понимаю, что ключ пока никто не нашёл. Совсем нет вариантов? Злоумышленник с рутом - это кто? Тот, кто не "нашел ключ"? Пока нет конкретики, то "злоумышленник с рутом" ничем не отличается "защитника с рутом". Чтобы их различать, надо выйти за пределы системы, например, в ring -1,-2, tmp и прочий вендорлок security system.
	Ответить | Правка | К родителю #52 | Наверх | Cообщить модератору

	63. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 13:08
	Вопрос в №21  "Что мешает подписать, если уже есть root-доступ?" Предложен сценарий атаки "подписать, если уже есть root-доступ". Но ключи не нашли. Отсутствие ключей и мешает подписать.
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	69. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 13:27
	Хочешь сказать, ключей в системе нет? Внесистемные инструменты? Хотя, что мешает взломщику во взломанной системе взломать проверку ключей?
	Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

	74. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 13:41
	Социальная инженерия не работает. Не нашли ключи, не подписали, закрепиться предложенным способом не удалось, до свидания.
	Ответить | Правка | К родителю #69 | Наверх | Cообщить модератору

	77. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 14:05
	> Социальная инженерия не работает. Еще один "верный" тезис. > Не нашли ключи Интересно, как в систему попали? Защищающийся должен доказывать, что взломщик "не нашел ключей", а не наоборот: зашел через открытую форточку, а мог бы просто окно разбит и зайти.
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	82. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 10-Июн-22, 15:12
	>> Не нашли ключи > Интересно, как в систему попали? Кто? Вы? Нафантазировали, что куда-то попали. На этом фантазия закончилась. > Защищающийся должен доказывать, что взломщик "не нашел ключей", а не наоборот: зашел > через открытую форточку, а мог бы просто окно разбит и зайти. Мне не надо ничего доказывать. Я знаю, почему вариантов, где хранятся ключи, предложено не будет. :)
	Ответить | Правка | К родителю #77 | Наверх | Cообщить модератору

	146. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (146), 11-Июн-22, 12:59
	> Я знаю, почему вариантов, где хранятся ключи, предложено не будет. Потому что ты оффтопщик - админ подкроватного IIS-сервера, который сам не знает? Ты давай конкретику, как ты защищаешь _скомпрометированную_ систему, которую лучше заморозить до абсолютного нуля и отдать в музей безопасникам.
	Ответить | Правка | К родителю #82 | Наверх | Cообщить модератору

	147. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 13:33
	>> Я знаю, почему вариантов, где хранятся ключи, предложено не будет. > Потому что ты оффтопщик - админ подкроватного IIS-сервера, который сам не знает? Нет, ты не угадал, у меня нет IIS-сервера под кроватью. > Ты давай конкретику, как ты защищаешь _скомпрометированную_ систему, которую лучше заморозить > до абсолютного нуля и отдать в музей безопасникам. Сначала расскажи, почему ты не смог её сам найти.
	Ответить | Правка | К родителю #146 | Наверх | Cообщить модератору

	148. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 14:01
	Что мне находить? Отключение integrity, когда у меня есть рут? Прописывание в загрузчик своего исправленного ядра со своими модулями, ключами, своей командной строкой, когда у меня есть рут? Какой еще вариант комбинаторного взрыва нужен, когда у меня есть рут? Ты давай конкретику, как ты защищаешь уже взломанную систему? Вся эта твоя защита должна работать до взлома. Эта новость - просто реклама службы безопасности, какие они "хорошие" нашли LD_PRELOAD во взломанной системе.
	Ответить | Правка | К родителю #147 | Наверх | Cообщить модератору

	151. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 15:57
	> Что мне находить? Теряешь контекст? Требовал конкретику. У меня она есть и давно в виде кода. К данному сценарию, кстати, подходит. > Отключение integrity, когда у меня есть рут? Прописывание в > загрузчик своего исправленного ядра со своими модулями, ключами, своей командной строкой, > когда у меня есть рут? Какой еще вариант комбинаторного взрыва нужен, > когда у меня есть рут? > Ты давай конкретику, как ты защищаешь уже взломанную систему? Вся эта твоя > защита должна работать до взлома. Ещё раз - я тебе ничего не должен. Я вижу, что дискутировать на данную тему с тобой нет смысла, поскольку ты не умеешь сценарий атаки сформулировать. > Эта новость - просто реклама службы безопасности, какие они "хорошие" нашли LD_PRELOAD > во взломанной системе. Крайне глубокая мысль. Стоило с неё сразу начать и на ней закончить.
	Ответить | Правка | К родителю #148 | Наверх | Cообщить модератору

	153. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 16:55
	> Теряешь контекст? Требовал конкретику Это ты давно потерял контекст. Раздул "проблему LD_PRELOAD" до размеров слона. Ты, давай, показывай конкретику - свой недоступный код, который защищает от пользователя root. Подсказка, недавно в ядро добавили "механизм" ограничения пользователя root.
	Ответить | Правка | К родителю #151 | Наверх | Cообщить модератору

	158. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 18:50
	>> Теряешь контекст? Требовал конкретику > Это ты давно потерял контекст. Раздул "проблему LD_PRELOAD" до размеров слона. Ты не проблема вовсе. Если ты не готов к конструктивному диалогу по вопросу LD_PRELOAD, но тебя триггернуло исходное сообщение и не даёт спокойно жить, я вынесу из "общения" с тобой иную пользу. Мне так или иначе придётся сталкиваться с фанатиками, с этим надо что-то делать, вас надо уметь вовремя распознать. > Ты, давай, показывай конкретику - свой недоступный код, который защищает от пользователя > root. Давать тебе будет жена. Достаточно доходчиво? > Подсказка, недавно в ядро добавили "механизм" ограничения пользователя root. Рад за тебя, ты опять умудрился приплести пользователя root к другой теме.
	Ответить | Правка | К родителю #153 | Наверх | Cообщить модератору

	161. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 19:03
	> Если ты не готов к конструктивному диалогу по вопросу LD_PRELOAD Какой конструктив, если ты не даешь никакой конкретики. Вместо этого скачешь то на проверку целостности (запускаемых) файлов, то обвиняешь непонятно в чём разделяемые библиотеки во взломанной системе. Присутствие в системе руткита - это уже отсутствие доверия к системе, включая проверку целостности файлов, так как руткит уже обошел эту проверку. И неважно как попал в систему руткут - сознательно  или бессознательно.
	Ответить | Правка | К родителю #158 | Наверх | Cообщить модератору

	163. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 19:15
	>> Если ты не готов к конструктивному диалогу по вопросу LD_PRELOAD > Какой конструктив, если ты не даешь никакой конкретики. Успокойся уже. Сделай 10 вдохов. Сделал? Теперь читай дальше. В №21 ты собрался что-то там подписывать. Цитирую: "Что мешает подписать, если уже есть root-доступ?" При этом ты не дал никакой конкретики, а попытался переложить бремя доказательства невозможности сферической конной атаки на оппонента. Если бы ты предположил что-то вроде "у тебя подписи хранятся вон там? значит я делаю так" - это уже сценарий, его можно обсуждать. > Вместо этого скачешь то > на проверку целостности (запускаемых) файлов, то обвиняешь непонятно в чём разделяемые > библиотеки во взломанной системе. > Присутствие в системе руткита - это уже отсутствие доверия к системе, включая > проверку целостности файлов, так как руткит уже обошел эту проверку. И > неважно как попал в систему руткут - сознательно  или бессознательно. В прошлом сообщении вместо "руткит" было "рут". Но скачу я, ага. ;)
	Ответить | Правка | К родителю #161 | Наверх | Cообщить модератору

	167. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 19:37
	Руткит - это "кит", который работает как "рут". С точки зрения системы ничем не отличима от человека-пользователя "рут"
	Ответить | Правка | К родителю #163 | Наверх | Cообщить модератору

	188. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 12-Июн-22, 12:08
	Аноним - это "им" "я", которого "нет". С точки зрения системы у твоего мнения нет источника.
	Ответить | Правка | К родителю #167 | Наверх | Cообщить модератору

	105. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 18:43
	> Так подписи будет раздавать RHBM. ;) Пока-что я сам себе подписи на кернельные модули раздаю. А в чем проблема так же с либами и бинарями сделать?
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	129. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 10:16
	Для Вас не вижу проблем, коль сходу предлагаете решение. Исходники открыты, можно дорабатывать. А вот этим, у кого вся свобода заключается в "лишь бы не как в венде" и трендовых сетах иконок, RH/IBM и будет подписывать.
	Ответить | Правка | Наверх | Cообщить модератору

	204. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Neon (??), 13-Июн-22, 03:45
	А кто будет проверять контролера ?
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	209. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 13-Июн-22, 08:32
	Сами подписывайте, если никому не доверяете. Исходники открыты, возможность есть.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+2 +/–
	Сообщение от Аноним (28), 10-Июн-22, 11:28
	Подписывают на отдельном хосте, не подключенном к сети с рутуемыми серверами.
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	29. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+1 +/–
	Сообщение от n00by (ok), 10-Июн-22, 11:29
	Да, это один из вариантов. Но надо понимать, что в прошлый раз в итоге развития идеи появился SecureBoot. :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	48. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (20), 10-Июн-22, 12:07
	А если прямо им и воспользоваться, не мудрствуя лукаво...
	Ответить | Правка | Наверх | Cообщить модератору

	107. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 21:02
	> А если прямо им и воспользоваться, не мудрствуя лукаво... Полная версия идеи секурбута так то проверять ВСЕХ на цепочке ROM->бут->кернел->программы/либы ROM не меняемый (накристальный или в R/O флехе). Это делает его anchor'ом которому можно доверять, если он знает доверяемый ключ. Он проверяет загрузчик. А тот ядро. Для продолжения цепочки ядро может отказаться запускать неподписанные программы. А (подписаный) лоадер динамических либ мог бы проверять и подпись либы, не грузя ее если подписи нет. Таки да, полная реализация сложновата и ВСЕ дырки законоаптить в системе где о таком СРАЗУ не думали все же не очень просто. Поэтому ИНОГДА секурбутчиков посещают приколы с обломами.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема