Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_PRELOAD для скрытия, opennews (ok), 10-Июн-22, (0) [смотреть все] Разделяемые библиотеки позволяют быстро исправлять ошибки - говорили они, не ш, n00by (ok), 08:45 , 10-Июн-22, (1) –23 // ну тут дело же в полученном изначально root-доступе, а не в самом механизме дина, Аноним (4), 08:50 , 10-Июн-22, (4) +19 // Дело в том, что я сейчас напишу читайте Хоглунда , а эксперты по руткитам полез, n00by (ok), 08:55 , 10-Июн-22, (6) +4 // Я эксперт, только что вернулся из поисковика При чём тут хоккей , Аноним (56), 12:41 , 10-Июн-22, (56) +7 Однофамилец того хоккеиста написал книжку про руткиты Описал решаемые ими задач, n00by (ok), 13:00 , 10-Июн-22, (61) +3 В тему , Аноним (-), 17:54 , 10-Июн-22, (100) +1 Это что, для маздая Очень тематично пля, мне очень интересно как гадить в NTшны, Аноним (-), 18:38 , 10-Июн-22, (102) –1 p s я буду рефрешить коменты до ответа Я буду рефрешить коменты до ответа Я б, Аноним (-), 18:39 , 10-Июн-22, (103) +2 Ответа кому Смысл вести с вами дискуссии На что вы, господа безымянные теорети, n00by (ok), 09:52 , 11-Июн-22, (127) Может, это те ребята, которые пишут Dow do I wrote root kit for Linux на Stac, InuYasha (??), 10:22 , 11-Июн-22, (131) +1 Вы хотеть, пожалуйста, посетить эту ссылка https github com search q linux roo, n00by (ok), 11:21 , 11-Июн-22, (138) Понимаешь, человек, от ТЕБЯ много СПАМА Бесполезного и или офтопичного Ты спам, Аноним (-), 19:46 , 11-Июн-22, (168) Я отвечаю на твои бессмысленные сообщения, поскольку мне с такими как ты придётс, n00by (ok), 11:55 , 12-Июн-22, (187) –1 Этот хак с LD_PRELOAD работает с правами обычного пользователя с правами которог, torvn77 (ok), 02:01 , 14-Июн-22, (223) Напоминаю Unix-way каждая программа хорошо делает своё дело 1 эксплоит - пол, n00by (ok), 07:54 , 14-Июн-22, (225) А не наоборот Впрочем в линуксе всё прекрасно тут вам и разделяемые библиотеки, Аноним (38), 11:43 , 10-Июн-22, (38) –2   // Unix way - одна программа не обсуждается в ветке хорошо получает рут доступ, д, n00by (ok), 12:02 , 10-Июн-22, (46) +5   Пакетный менеджер имеет свои плюсы Допустим в zlib нашли баг Я поставил патчен, Аноним (-), 21:21 , 10-Июн-22, (109)   Исправил, не благодари, Аноним (-), 01:56 , 11-Июн-22, (125) –2   Нехрен арчем и гентой в проде пользоваться В нормальных дистрах майнтайнеры вот, Аноним (-), 19:51 , 11-Июн-22, (169)   Накушался я этой стабильности в свое время Так, навскидку пример дебиан то ли , Аноним (220), 20:24 , 13-Июн-22, (220)   Об этом должен беспокоиться разработчик конкретной программы, а не разработчик О, Аноним (38), 09:55 , 11-Июн-22, (128) +1   Единое окружение операционной системы собирает разработчик ОС, а не автор конкре, Аноним (141), 12:03 , 11-Июн-22, (141)   Вот поэтому самая правильная схема -- ОС отдельно, программы отдельно , Аноним (38), 12:23 , 11-Июн-22, (144) +3   В этом месте возникает конфликт интересов Есть специальный человек - майнтайнер, n00by (ok), 16:14 , 11-Июн-22, (152)   Дистрибутив AltMinixZverBD отдельно, Аноним (-), 17:33 , 11-Июн-22, (157)   Не, спасибо, я видел как это в маздае работает Крайним почему-то я оказываюсь, , Аноним (-), 20:07 , 11-Июн-22, (172)   Ну не знаю По-моему ситуация когда пользовательские приложения делят либы с о, Аноним (38), 21:09 , 11-Июн-22, (175) +1   А по моему 1 В моем случае деление на систему и пользовательские приложени, Аноним (-), 03:16 , 12-Июн-22, (181)   А остальной код вы проверили, вдруг в других местах тоже есть уязвимости Запуск, Аноним (38), 14:07 , 12-Июн-22, (196)   Заменив либу на фикшеную, можно ВСЁ поломать Классно поменяли , Neon (??), 03:42 , 13-Июн-22, (203) +2   Поздравляю, ты изобрел FreeBSD с ее делением на distributions и ports, Аноним (220), 20:31 , 13-Июн-22, (221)   Спасибо, теперь я понял эти постоянные нападки на BSD В GNU Linux именно свобод, n00by (ok), 08:10 , 14-Июн-22, (226)   За что, среди прочего, фряху и люблю Есть минимальный набор из загрузчика, ядра, Аноним (-), 17:26 , 14-Июн-22, (228)   Что бы что-то перехватить в монолитном исполняемом файле, врезать инструкции пер, n00by (ok), 17:55 , 14-Июн-22, (230)   Проблема в том что в результате 1 Все отдано на откуп легиону каких-то раздолба, Аноним (-), 20:04 , 11-Июн-22, (171)   Ну так не пользуйся ненужным, в чем проблема-то Если найдется уязвимость в како, Аноним (-), 17:35 , 14-Июн-22, (229)   А еще злодей может имя файла использовать левое, название процесса непаливное на, Аноним (-), 18:42 , 10-Июн-22, (104) +1 Жаль, что не получается составить список экспертов Стесняются отметиться явно , n00by (ok), 10:21 , 10-Июн-22, (12) // busybox, Аноним (-), 11:02 , 10-Июн-22, (19) // Ход мыслей правилен, но уровень абстракции не тот См ldd which busybox , n00by (ok), 11:27 , 10-Июн-22, (26) Статически слинкован, например с каким-нибудь экзотическим libc, который в добав, Аноним (-), 11:31 , 10-Июн-22, (30) +2 Да, это решение Но фанаты не одобряют , n00by (ok), 11:36 , 10-Июн-22, (32) +1 Это решение только проблемы с LD_PRELOAD А злоумышленник с рутом так и сидит в , Аноним (-), 11:41 , 10-Июн-22, (36) +2 Что и обсуждается в данной ветке , n00by (ok), 11:57 , 10-Июн-22, (42) В какой, в которой ключи ищут , Аноним (-), 12:14 , 10-Июн-22, (50) В ветке, которая началась с моего сообщения 8470 1 Оно так понравилось экспер, n00by (ok), 12:22 , 10-Июн-22, (53) Если обсуждают, что угодно, то изначальный тезис противоречивый, то есть троллин, Аноним (-), 12:35 , 10-Июн-22, (55) Противоречий в тезисе нет Цитата в кавычках верна, проблема с ошибками в библ, n00by (ok), 13:02 , 10-Июн-22, (62) –1 Вопросов больше не имею, Аноним (-), 13:30 , 10-Июн-22, (70) Вот и не надо зафлуживать ветку, если сказать по сути нечего Затроллили его, бе, n00by (ok), 13:38 , 10-Июн-22, (72) –1 А если разрешать подгрузку только таких библиотек, у которых есть цифровая подпи, Аноним (20), 11:04 , 10-Июн-22, (20) // Что мешает подписать, если уже есть root-доступ , Аноним (-), 11:09 , 10-Июн-22, (21) +1 Так подписи будет раздавать RHBM , n00by (ok), 11:15 , 10-Июн-22, (22) +2 Не знаю кто это, но проверять тоже он будет или система, в которой кто-то шаритс, Аноним (-), 11:21 , 10-Июн-22, (23) +1 Куда именно добавил , n00by (ok), 11:24 , 10-Июн-22, (24) В систему, которая проверяет , Аноним (-), 11:26 , 10-Июн-22, (25) Куда именно в систему, которая проверяет , n00by (ok), 11:28 , 10-Июн-22, (27) Куда надо Конкретика должна исходить от того, кто предложил способ защиты злоум, Аноним (-), 11:39 , 10-Июн-22, (35) Защищающийся должен защитить систему Атакующему он ничего не должен , n00by (ok), 11:58 , 10-Июн-22, (43) Какой из пользователей с UID 0 защитник, какой - атакующий , Аноним (-), 12:01 , 10-Июн-22, (45) Ищите ключи , n00by (ok), 12:04 , 10-Июн-22, (47) К кому запрос, к пользователю - защитнику или атакующему, который нашел ключ , , Аноним (-), 12:12 , 10-Июн-22, (49) Я понимаю, что ключ пока никто не нашёл Совсем нет вариантов , n00by (ok), 12:20 , 10-Июн-22, (52) Злоумышленник с рутом - это кто Тот, кто не нашел ключ Пока нет конкретики, т, Аноним (-), 12:30 , 10-Июн-22, (54) Вопрос в 8470 21 Что мешает подписать, если уже есть root-доступ Предложен , n00by (ok), 13:08 , 10-Июн-22, (63) Хочешь сказать, ключей в системе нет Внесистемные инструменты Хотя, что мешает , Аноним (-), 13:27 , 10-Июн-22, (69) Социальная инженерия не работает Не нашли ключи, не подписали, закрепиться пред, n00by (ok), 13:41 , 10-Июн-22, (74) Еще один верный тезис Интересно, как в систему попали Защищающийся должен дока, Аноним (-), 14:05 , 10-Июн-22, (77) Кто Вы Нафантазировали, что куда-то попали На этом фантазия закончилась Мне н, n00by (ok), 15:12 , 10-Июн-22, (82) Потому что ты оффтопщик - админ подкроватного IIS-сервера, который сам не знает , Аноним (146), 12:59 , 11-Июн-22, (146) Нет, ты не угадал, у меня нет IIS-сервера под кроватью Сначала расскажи, почему , n00by (ok), 13:33 , 11-Июн-22, (147) Что мне находить Отключение integrity, когда у меня есть рут Прописывание в за, Аноним (-), 14:01 , 11-Июн-22, (148) Теряешь контекст Требовал конкретику У меня она есть и давно в виде кода К да, n00by (ok), 15:57 , 11-Июн-22, (151) Это ты давно потерял контекст Раздул проблему LD_PRELOAD до размеров слона Ты, Аноним (-), 16:55 , 11-Июн-22, (153) Ты не проблема вовсе Если ты не готов к конструктивному диалогу по вопросу LD_P, n00by (ok), 18:50 , 11-Июн-22, (158) Какой конструктив, если ты не даешь никакой конкретики Вместо этого скачешь то , Аноним (-), 19:03 , 11-Июн-22, (161) Успокойся уже Сделай 10 вдохов Сделал Теперь читай дальше В 8470 21 ты соб, n00by (ok), 19:15 , 11-Июн-22, (163) Руткит - это кит , который работает как рут С точки зрения системы ничем не , Аноним (-), 19:37 , 11-Июн-22, (167) Аноним - это им я , которого нет С точки зрения системы у твоего мнения не, n00by (ok), 12:08 , 12-Июн-22, (188) Пока-что я сам себе подписи на кернельные модули раздаю А в чем проблема так же, Аноним (-), 18:43 , 10-Июн-22, (105) Для Вас не вижу проблем, коль сходу предлагаете решение Исходники открыты, можн, n00by (ok), 10:16 , 11-Июн-22, (129) А кто будет проверять контролера , Neon (??), 03:45 , 13-Июн-22, (204) Сами подписывайте, если никому не доверяете Исходники открыты, возможность есть, n00by (ok), 08:32 , 13-Июн-22, (209) Подписывают на отдельном хосте, не подключенном к сети с рутуемыми серверами , Аноним (28), 11:28 , 10-Июн-22, (28) +2 Да, это один из вариантов Но надо понимать, что в прошлый раз в итоге развития , n00by (ok), 11:29 , 10-Июн-22, (29) +1 А если прямо им и воспользоваться, не мудрствуя лукаво , Аноним (20), 12:07 , 10-Июн-22, (48) Полная версия идеи секурбута так то проверять ВСЕХ на цепочкеROM- бут- кернел- п, Аноним (-), 21:02 , 10-Июн-22, (107) Предлагаешь отключить _dl_map_object_deps всем-всем-всем из юзерспейса с сискол, InuYasha (??), 10:51 , 11-Июн-22, (137) // Зачем сразу запрещать Было интересно, сколько возникнет подобных вопросов что, n00by (ok), 11:41 , 11-Июн-22, (139) Вот это уровень , Аноним (-), 16:59 , 11-Июн-22, (155) +1 А то Сджипиэлил из 30 не знает про всякие переменные окружения LD_ , n00by (ok), 19:02 , 11-Июн-22, (160) Научный подход security by obscurity в действии , Аноним (-), 19:19 , 11-Июн-22, (164) +1 Ну да Зеркало то работает Вон как ты себя разоблачаешь , n00by (ok), 19:25 , 11-Июн-22, (166) Строго говоря, замена одной неисправной библиотечки не является уязвимостью, ЕСЛ, Аристарх (??), 12:54 , 10-Июн-22, (60) –3 // Торвальдс написал ядро Здесь обсуждается механизм в пространстве пользователя , n00by (ok), 13:11 , 10-Июн-22, (66) +4 // Только в пространстве пользователя, любой пользователь полностью изолирован от в, Аноним (-), 13:40 , 10-Июн-22, (73) Самое удивительное, что руткит при этом не подгузится , n00by (ok), 13:47 , 10-Июн-22, (75) Как догадался, получил дамп выполненных в ring0 инструкций, проанализировал на в, Аноним (-), 14:16 , 10-Июн-22, (78) –1 Бывает Продолжайте собирать пакетики , n00by (ok), 15:11 , 10-Июн-22, (81) И что там надо увидеть То что, если поменять логику glibc, то glibc ведет себ, Аноним (146), 15:30 , 10-Июн-22, (83) С какой конкретно целью Вы пытаетесь произвести подмену предмета обсуждения в ве, n00by (ok), 15:43 , 10-Июн-22, (85) Если есть рут доступ, можно подменить вызовы glibc своим механизмом LD_PRELOA, Аноним (-), 15:58 , 10-Июн-22, (87) То есть цель озвучить не можете, но хотите пофлудить о сферическом коне в вакуум, n00by (ok), 16:16 , 10-Июн-22, (92) Продолжай скакать с ветки на ветку, обвиняя Вы пытаетесь произвести подмену пре, Аноним (-), 16:33 , 10-Июн-22, (94) Зер гуд, Вольдемар Я, я, дас штиммт Тебе полагается тёплый суп , n00by (ok), 10:20 , 11-Июн-22, (130) Может, ещё книжку для укладки на энтер услужливо подсовывающий Торвальдс не обид, Michael Shigorin (ok), 21:23 , 10-Июн-22, (110) +1 Да, позволяют Это ты смотрю не шибко понимаешь что такое разделяемые библиотеки , Аноним (90), 16:01 , 10-Июн-22, (90) // Чего мне понимать - в новости подробно описана разделяемая библиотека скрывают, n00by (ok), 16:20 , 10-Июн-22, (93) А таки позволяют И еще обеспечивают code reuse Мсье вероятно фанат игогошных б, Аноним (-), 18:35 , 10-Июн-22, (101) +1 // Некоторые, кстати, троянят procps, но не psmisc , Michael Shigorin (ok), 21:24 , 10-Июн-22, (111) // Это они не открыли Бритву Оккама - не надо прятать то, чего нет Есть же ещё оди, n00by (ok), 12:14 , 11-Июн-22, (142) Мсье, очевидно, теоретик У меня на Си std cout хелловорлд получался в , n00by (ok), 10:26 , 11-Июн-22, (132) +1 // ldd покажешь , Аноним (-), 17:09 , 11-Июн-22, (156) Она не понимает PE COFF , n00by (ok), 18:54 , 11-Июн-22, (159) В тему , Аноним (-), 19:12 , 11-Июн-22, (162) Ещё бы Ведь это _у_тебя_ исполняемый файл 6 гигабайт и масса руткитов закрепляе, n00by (ok), 19:20 , 11-Июн-22, (165) Ты не виляй хвостом, показывай импорты и экспорты или как у там у вас оффтопщико, Аноним (-), 20:01 , 11-Июн-22, (170) Зачем я буду что-то тебе показывать У меня нет давно Венды как и того экзешника, n00by (ok), 12:12 , 12-Июн-22, (189) Может ты сперва напишешь привет мир используя именно std cout , потом будешь, Аноним (146), 12:48 , 12-Июн-22, (193) Может ты внимательно прочтёшь 8470 132 У меня на Си std cout хелловорл, n00by (ok), 13:17 , 12-Июн-22, (194) Типичный оффтопщик, который пришел в тему про linux, и понтуется, что читал оффт, Аноним (146), 13:37 , 12-Июн-22, (195) Рекомендую тебе вести себя крайне осторожно, особенно с оценками, пока ты не осо, n00by (ok), 14:42 , 12-Июн-22, (197) Оценщик об оценках Держишь уровень , Аноним (146), 15:41 , 12-Июн-22, (198) Напоминаю, в 8470 101 ты описал свой маня-мирок, в котором хелловорлд весит 6, n00by (ok), 08:21 , 13-Июн-22, (208) Ты, давай, показывай свой привет с использованием include iostream , котор, Аноним (146), 09:09 , 13-Июн-22, (210) Ты мог бы уже сам найти, если бы умел немножко покликать мышкой и читать исходни, n00by (ok), 09:38 , 13-Июн-22, (212) Это std или поделка студента , который залез в namespace std Разве это не т, Аноним (146), 10:40 , 13-Июн-22, (213) Почему ты решил, что я буду объяснять тебе, что такое стандартная библиотека Си , n00by (ok), 11:20 , 13-Июн-22, (214) Потому что ты не знаешь, что такое стандартная библиотека Си Нельзя залезать, Аноним (146), 11:31 , 13-Июн-22, (215) Что бы я начал что-то тебе объяснять, тебе следует меня заинтересовать Вот сейч, n00by (ok), 13:19 , 13-Июн-22, (216) https eel is c draft namespace std 1На остальное, подтверждающее уровень, отв, Анонин (?), 13:54 , 13-Июн-22, (217) Потому что ты за свои слова отвечать не способен в принципе, как уже было с под, n00by (ok), 15:25 , 13-Июн-22, (219) Кстати, ты заметил, что ответил как Анонин - с н на конце Мне интересно, это , n00by (ok), 11:38 , 15-Июн-22, (231) Вот это в мире ненавистной Венды называется нубкит поскольку там перехват сис, n00by (ok), 08:47 , 10-Июн-22, (2) +5 // А не системные вызовы , Аноним (28), 11:34 , 10-Июн-22, (31) // Надысь тут один специалист по Венде спрашивал, что такое подсистема Win32 Так, n00by (ok), 11:49 , 10-Июн-22, (40) +2 диэлэл-хайджакин это называется в венде , Big Robert TheTables (?), 11:57 , 10-Июн-22, (41) +2 А кого интересует мир венды в котором ничерта толком не работает А дизайн с деф, Аноним (90), 16:00 , 10-Июн-22, (89) –1 // Да что там окна, попробуйте хотя бы инъекцию dll по Рихтеру сделать, что бы скры, n00by (ok), 16:03 , 10-Июн-22, (91) // У винды есть и некий почти полный эквивалент LD_PRELOAD через реестр вроде Хотя, Аноним (-), 23:06 , 10-Июн-22, (116) Там в реестре наверняка много всякого интересного, и даже тело трояна можно найт, n00by (ok), 10:34 , 11-Июн-22, (133) Ну вот сколько я себя помню, в винде всегда было более 9000 способов налететь на, Аноним (-), 20:25 , 11-Июн-22, (173) Вот именно, что чёрт знает Тут стоит читать не Хоглунда, а начинать с Рихтера, , n00by (ok), 12:34 , 12-Июн-22, (190) Цвет рамок окон, конечно, имеет прямейшее отношение к дискуссии , Аноним (96), 17:20 , 10-Июн-22, (96) +3 Поставь себе третьегном, не мучайся , Аноним (-), 00:58 , 11-Июн-22, (122) Так и не поймешь, трололо или фанбой из 90х, Аноним (227), 17:03 , 14-Июн-22, (227) Дальше будет только хуже , Аноним (3), 08:48 , 10-Июн-22, (3) –3 А ссылка на исходники где , Аноним (7), 08:55 , 10-Июн-22, (7) +6 // Насколько я могу помнить, исходные коды подобного программного обеспечения, как , Адмирал Майкл Роджерс (?), 13:12 , 10-Июн-22, (67) +6 когда мамкины хакепы полностью освоят ebpf, тогда линукс будет дырявее винды, Аноним (8), 09:41 , 10-Июн-22, (8) +2 // Но для пользования eDPF у нормальных пацанов нужен root А если есть root, то и , Аноним (28), 11:38 , 10-Июн-22, (34) +2 // Ага, только у приличных людей там ща подписи на модули навешены И тебе еще ключ, Аноним (-), 18:45 , 10-Июн-22, (106) // Далеко у всех приличных людей Подписывать модули это уже почти ракетная наука , Аноним (178), 23:19 , 11-Июн-22, (178) Эта ракетная наука для стоковых модулей вообше билдсистемой кернела ворочается с, Аноним (-), 03:29 , 12-Июн-22, (182) А кто будет проверять подписантам Или джентльменам принято верить на слово , Neon (??), 03:48 , 13-Июн-22, (205) Не будет Дырявее и корявее венды уже не будет ничего , Аноним (90), 15:58 , 10-Июн-22, (88) // Дырка номер 100500 в линупce, но плохая все равно винда Чотаржу, Аноним (-), 01:53 , 11-Июн-22, (124) +4 // Ты ещё далеко не все вендовые пересчитал , Аноним (178), 23:20 , 11-Июн-22, (179) –2 В винде не дыры, а отверстия , InuYasha (??), 11:04 , 12-Июн-22, (184) Еще никогда s Штирлиц s товарищ майор не был так близко к провалу с , EuPhobos (ok), 09:49 , 10-Июн-22, (9) +2 Офигенный вирус Реквестирую сырцы под копилефт лицензией , Аноним (11), 10:20 , 10-Июн-22, (11) +3 // root-доступ, который может быть получен, например, в результате эксплуатаци, Аноним (38), 10:40 , 10-Июн-22, (17) +1 уже ничего особенного, дыры типа как в polkit, Аноним (71), 13:36 , 10-Июн-22, (71) +4 Оригинально , Аноним (18), 10:49 , 10-Июн-22, (18) +1 Интересно, кто бы мог это написать и для чего ещё оно используется 129300 , Аноним (33), 11:38 , 10-Июн-22, (33) +3 // След русских хакеров , Аноним (28), 11:42 , 10-Июн-22, (37) –1 // Нанятых бразильским центробанком по поручению спецслужб , Аноним (-), 11:58 , 10-Июн-22, (44) +1 NSA, for example , Аноним (64), 13:09 , 10-Июн-22, (64) +2 Так Simbiote или Symbiote , Аноним (28), 11:44 , 10-Июн-22, (39) +2 Где скачать b , Аноним (51), 12:18 , 10-Июн-22, (51) +1 // У себя в ЛА-банке, очевидно , Michael Shigorin (ok), 21:28 , 10-Июн-22, (113) например, исключают отдельные элементы в списке процессов - вот почему бара, Аристарх (??), 12:46 , 10-Июн-22, (57) +1 // Да, как грамотный подход в BSD , Аноним (65), 13:09 , 10-Июн-22, (65) // Он обычно оказывается не от мира сего И единственная причина по которой джо неу, Аноним (-), 00:40 , 11-Июн-22, (121) +1 Пока кто-то не встроил свой фильтр в этот API и не оказалось, что системщик полу, Аноним (96), 17:23 , 10-Июн-22, (97) +3 Вы так и будете старательно доказывать, что лично Вам не натянуть даже кол нет,, Michael Shigorin (ok), 21:31 , 10-Июн-22, (114) –1 И каждый первый хацкер будет пытаться это апи перехватить Потому что нерушимый , Аноним (-), 23:13 , 10-Июн-22, (118) +1 Скрыто модератором, Neon (??), 03:50 , 13-Июн-22, (206) –1 // Скрыто модератором, hefenud (ok), 09:26 , 13-Июн-22, (211) А вот и встроенный бэкдор ёBPF снова пригодился , Онаним (?), 12:48 , 10-Июн-22, (58) +3 // Основной плюс ёBPF в том, что теперь бэкдоры могут одинаково хорошо работать на , Онаним (?), 12:49 , 10-Июн-22, (59) +6 // Вне контекста верно, но как я понимаю к данному бекдору не относится - в новости, solardiz (ok), 16:53 , 10-Июн-22, (95) +4 // То есть эта штука еще и патчер eBFP программ А вот это уже креативно, LD_PRELOA, Аноним (-), 21:06 , 10-Июн-22, (108) +2 Спасибо и подстановка дополнительного кода в загружаемые в ядро BPF-программы , Michael Shigorin (ok), 21:33 , 10-Июн-22, (115) +2 Да Спасибо И можно на ты , solardiz (ok), 00:28 , 11-Июн-22, (119) Развесистая штуковина Походу, толковые ребята писали , YetAnotherOnanym (ok), 13:14 , 10-Июн-22, (68) // Вы про eBPF , anonymous (??), 15:03 , 10-Июн-22, (80) +2 хакеры не спят, Аноним12345 (?), 13:53 , 10-Июн-22, (76) Хакер и солонка, гоквч (?), 14:44 , 10-Июн-22, (79) +2 почему никто ещё не задумался отчего такой путь обнаружен пока только в фин учре, Аноним (84), 15:34 , 10-Июн-22, (84) // жырно шо аж Михоил не стал клевать, mos87 (ok), 12:21 , 11-Июн-22, (143) Как такую срань найти , Andy (??), 21:26 , 10-Июн-22, (112) // Для начала зазырить переменные окружения любым известным вам способом и если там, Аноним (-), 23:09 , 10-Июн-22, (117) // Тут лучше не любым известным, а загрузив чистую систему с внешнего накопителя , n00by (ok), 10:47 , 11-Июн-22, (135) +1 // Дык при загрузке с флешки LD_Preload будет с флешкиА смотреть на всхаченной сист, Andy (??), 15:03 , 11-Июн-22, (149) +1 В чистой системе , n00by (ok), 15:52 , 11-Июн-22, (150) Как вариант, запустить что-либо с LD_PRELOAD и убедиться в том, что свой LD_PREL, швондер (?), 16:57 , 11-Июн-22, (154) Руткит фильтрует чтение из proc пид mapsПо поводу детекта замером времени испол, n00by (ok), 12:47 , 12-Июн-22, (192) у вас неверное понимание , швондер (?), 16:40 , 12-Июн-22, (199) +1 Я так полагаю, Вы где-то уже апробировали предлагаемую методику, раз такое заявл, n00by (ok), 08:10 , 13-Июн-22, (207) +1 Поскольку не последовало внятного объяснения, как предполагается обеспечить дост, n00by (ok), 08:15 , 16-Июн-22, (235) Классический способ по мотивам RootkitRevealer Руссиновича пишем приложение, ко, n00by (ok), 10:44 , 11-Июн-22, (134) +1 // Еще можно врубить мозг - и черт с ним с русиновичем - у нас тут линукс же Читае, Аноним (-), 20:35 , 11-Июн-22, (174) // К каким ножкам процессора подпаиваем принтер , n00by (ok), 12:45 , 12-Июн-22, (191) 1 Подписываешь чистые бинари и библиотеки 2 Запускаешь tail -f var log lo, Аноним (232), 15:15 , 15-Июн-22, (232) // Это всего лишь вопрос времени, когда руткиты начнут писать на накопитель в обход, n00by (ok), 15:46 , 15-Июн-22, (233) // А мы не только ФС в режиме только для чтения держим, но и само блочное устройств, Аноним (236), 19:28 , 23-Июн-22, (236) И запуск драйверов заблокировали И изучили накопленный опыт атак на альтернатив, n00by (ok), 06:48 , 24-Июн-22, (237) систему атакующий должен иметь root-доступ -- да уж, srgazh (ok), 00:28 , 11-Июн-22, (120) // рассказать способы, или сам загуглишь новости о многолетних дырах , Аноним (71), 21:33 , 11-Июн-22, (177) +1 // Расскажи мне Мне очень нужно 8ой ведроид рутануть , InuYasha (??), 11:26 , 12-Июн-22, (186) +2 Дальше не читал , pavlinux (ok), 01:09 , 11-Июн-22, (123) +1 // Зер гуд, Вольдемар , n00by (ok), 10:51 , 11-Июн-22, (136) –1 да хоть через дыры в polkit заиметь сейчас рут - вообще не проблема , Аноним (71), 21:32 , 11-Июн-22, (176) –1 // 3аймей, хyцкep йoпт https git kernel org , pavlinux (ok), 21:46 , 12-Июн-22, (202) +1 Хорошая реклама Где мне его взять , microsoft (?), 08:16 , 11-Июн-22, (126) // У Микрософта же https github com search q LD_PRELOAD rootkit, n00by (ok), 12:35 , 11-Июн-22, (145) неплохо, mos87 (ok), 11:44 , 11-Июн-22, (140) Решил поизучать сети Поставил в Ubuntu анализатор Wireshark При первом запуске , У меня вопрос (?), 23:59 , 11-Июн-22, (180) +5 // man dumpcap не пробовали Это прога из комплекта wireshark для захвата сетевог, Аноним (-), 03:39 , 12-Июн-22, (183) +5 // А я один юзер в системе, домашний комп D, Аноним (-), 20:45 , 12-Июн-22, (200) +4 // Нет, ты - один из юзеров в системе, который думает, что он - Один или един , Аноним (146), 14:11 , 13-Июн-22, (218) cat etc passwd, Аноним (220), 20:47 , 13-Июн-22, (222) А почему wireshark dumpcap через sudo не запускает , torvn77 (ok), 02:09 , 14-Июн-22, (224) Не знаю, я не пробовал Я запускаю Wireshark ярлыком , Аноним (-), 23:32 , 15-Июн-22, (234) +1 1,2,3,7,8,9,11,18,33,39,51,57,58,68,76,79,84,112,120,123,126,140,180

Сообщения

[Сортировка по времени | RSS]

	38. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	–2 +/–
	Сообщение от Аноним (38), 10-Июн-22, 11:43
	А не наоборот? Впрочем в линуксе всё прекрасно: тут вам и разделяемые библиотеки, тут вам и пакетные менеджеры, тут вам и наркоманский FHS... Всё для человека, ага.
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	46. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+5 +/–
	Сообщение от n00by (ok), 10-Июн-22, 12:02
	Unix way - одна программа (не обсуждается в ветке) хорошо получает рут доступ, другая программа (руткит, обсуждается здесь и сейчас) хорошо закрепляется, для чего скрывает своё присутствие. Вот что прекрасно. :)
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 10-Июн-22, 21:21
	> А не наоборот? Впрочем в линуксе всё прекрасно: тут вам и разделяемые > библиотеки, тут вам и пакетные менеджеры, тут вам и наркоманский FHS... > Всё для человека, ага. Пакетный менеджер имеет свои плюсы. Допустим в zlib нашли баг. Я поставил патченый пакет. Все программы в моей системе автоматически исправлены. И если я не качал хлам как маздаец я могу быть в этом более-менее уверен (после рестарта затронутых программ). А теперь удачи так в маздайке. Вы врядли знаете сколько программ приперло _свой_ zlib.dll или даже статически влинковало его унутрь. Нету в маздайке культуры реюза кода и тем более его оперативного патчинга. Поэтому есть отличная от ноля вероятность что вас можно до сих пор огреть винтажным, общеизвестным багом, если какая-то программа в вашей системе процессила внешние файлы или сетевой траффик такой либой. И ничего с этим в маздайке особо сделать нельзя. А вон пропатчьте мультиплеер HMM III в виндохном бинаре, которому можно по сети взять и укатать, за то что ископаемый zlib статически слинковали, дескать. А в этом моем линухе VCMI так то пропатчится на раз в таком же случае...
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	125. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	–2 +/–
	Сообщение от Аноним (-), 11-Июн-22, 01:56
	> Я поставил патченый пакет. Все программы в моей системе автоматически отвалились Исправил, не благодари
	Ответить | Правка | Наверх | Cообщить модератору

	169. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 19:51
	>> Я поставил патченый пакет. Все программы в моей системе автоматически отвалились > Исправил, не благодари Нехрен арчем и гентой в проде пользоваться. В нормальных дистрах майнтайнеры вот реально только вулн запалчат - и все! Чему там вообще отваливаться? Предпосылок нет. Заодно так наверное чуть понятнее почему у вменяемых дистров вместо гонки за свежаком специфичные полися по типу того что между релизами как максимум минорные версии подтягивают, но никаких крупных инноваций. Вот как раз чтобы прод не разваливался как у арчегент.
	Ответить | Правка | Наверх | Cообщить модератору

	220. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (220), 13-Июн-22, 20:24
	Накушался я этой стабильности в свое время. Так, навскидку пример: дебиан то ли 5, то ли 6 версии. Аська у которой полсотни рабочих контактов, майлру эту самую аську покупает и что-то меняет в протоколе. Дебиановский pidgin, само собой, работать по нему перестает. Этим контактам по фигу, у них винда - обновили свои клиенты и дальше живут (у кого-то миранда, у кого-то &RQ, у кого и официальный). А в дебиане или ставь пакет от убунты (с непредсказуемыми глюками по итогу), или собирай свежак из сорцов, или жди следующую стабильную версию этого самого дебиан годик-другой. В итоге плюнул, поставил винду и забыл про все эти дела как страшный сон
	Ответить | Правка | Наверх | Cообщить модератору

	128. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+1 +/–
	Сообщение от Аноним (38), 11-Июн-22, 09:55
	> Допустим в zlib нашли баг. Я поставил патченый пакет. Все программы в моей системе автоматически исправлены. Об этом должен беспокоиться разработчик конкретной программы, а не разработчик ОС или тем более пользователь. Не?
	Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

	141. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (141), 11-Июн-22, 12:03
	Единое окружение операционной системы собирает разработчик ОС, а не автор конкретной программы, автор программы не знает кто, где и как будет программу использовать.
	Ответить | Правка | Наверх | Cообщить модератору

	144. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+3 +/–
	Сообщение от Аноним (38), 11-Июн-22, 12:23
	Вот поэтому самая правильная схема -- "ОС отдельно, программы отдельно".
	Ответить | Правка | Наверх | Cообщить модератору

	152. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 11-Июн-22, 16:14
	В этом месте возникает конфликт интересов. Есть специальный человек - майнтайнер (почему-то не любят переводить на русский) - собирает программу под конкретную ОС. Этот человек принимает решения по устройству ОС. При этом указанная схема - это компетенция архитектора, насколько я понимаю.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 17:33
	> ОС отдельно > программы отдельно Дистрибутив AltMinixZverBD отдельно
	Ответить | Правка | К родителю #144 | Наверх | Cообщить модератору

	172. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 20:07
	> Вот поэтому самая правильная схема -- "ОС отдельно, программы отдельно". Не, спасибо, я видел как это в маздае работает. Крайним почему-то я оказываюсь, убивая в цать раз больше времени на поддержание программ и системы в секурном состоянии и имея нежилые траблы с пониманием все ли реально up to date или нет. Извините но такое управление софтом и системой называется словом "маздай".
	Ответить | Правка | К родителю #144 | Наверх | Cообщить модератору

	175. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+1 +/–
	Сообщение от Аноним (38), 11-Июн-22, 21:09
	Ну не знаю... По-моему ситуация когда пользовательские приложения делят либы с осью -- это маразм высшей категории. В идеале наверное должно быть разделение на собственно операционную систему, системные утилиты и на пользовательские приложения, а как оно там будет слинковано -- над этим уже можно думать. Ну и с точки зрения безопасности приложения (за которое должен отвечать его автор, а не разработчик ОС или мэинтейнер) мне кажется, что лучше это изначально решать с помощью механизмов изоляции, чем гнаться без конца за свежими версиями библиотек.
	Ответить | Правка | Наверх | Cообщить модератору

	181. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 12-Июн-22, 03:16
	> Ну не знаю... По-моему ситуация когда пользовательские приложения делят либы с осью > -- это маразм высшей категории. А по моему... 1) В моем случае деление на "систему" и "пользовательские приложения" условно. Есть репы. Из репов я набираю ту или иную систему под ту или иную задачу, компонуя пакеты так или иначе. Нормальный модульный подход. Очень круто, ежели научиться им пользоваться. Можно кастомные образа систем под специфичные задачи кроить быстро и без напряга. А, извините, с маздайкой это не получится по еще более 9000 причин. Потому и называется маздайкой в моем лексиконе. 2) Либы обеспечивают очень эффективный code reuse. А также эффективное расходование ресурсов. Если вы в винде запустите пять кутевых программ, вы поимеете пять жирных копий приватных версий кутя в памяти. У меня будет висеть ОДНА копия библы кутей НА ВСЮ ОРАВУ. И жрать RAM один раз на все 5 программ. 3) Заменив либу на фикшеную я уверен что починилось ВСЕ. Ежели отучаться качать всякий варез с левых сайтов как маздайщики, конечно. Я конечно иногда качаю сорсы с разных реп, однако билдуется оно таки именно с теми же системными либами как и софт из дистров, а если результат нравится то он и в пакет заворачивается для порадка и трекинга чем еще я в системе намусорил. 4) Персонально я в гробу видел всякие варезоподобные проприетарные блобы. Это просто никогда не будет запущено на моих системах "for security reasons". Я для себя решил вот так. И это хрен оспоришь. 5) Кроме всего прочего 4) делает меня архитектурно независимым. Я могу все мои воркфлоу на любой процессорной архитектуре, будь то ARM64 или RISCV они вполне могут стать моей следующей платформой. И на моем персональном уровне я буду очень рад отделаться от х86 с всеми их ME, PSP, BootGuard'ами и secureboot-ами где я с ножом к горлу "должен" доверять мерзкософту. Нихрена я им не должен. Особенно - доверять их проприетарной блоботе и ключам. > В идеале наверное должно быть разделение на собственно операционную систему, > системные утилиты и на пользовательские приложения, У меня как-то сильно другие идеалы, мне наоборот унифицированная модульная архитектура где я сам для себя решу что система - здорово удобнее. А с чего вдруг какие-то левые хрены лучше меня будут знать что я системой считаю, а что нет? > а как оно там будет слинковано -- над этим уже можно думать. Ну и с точки > зрения безопасности приложения (за которое должен отвечать его автор, А мне вот удобно что всесто этого отвечают майнтайнеры, и ВСЕ они придерживаются характерных, унифицированных, ПРЕДСКАЗУЕМЫХ полисей. Которые мне достаточно прочитать и понять 1 раз а не 9000 раз - для каждой из установленных программ. > а не разработчик ОС или мэинтейнер) мне кажется, что лучше это изначально решать > с помощью механизмов изоляции, чем гнаться без конца за свежими версиями библиотек. А мне вот удобно когда предсказуемые унифицированные политики применяются КО ВСЕМУ. И столь же удобно когда все унифицировано рулится, могу поставить эти компоненты, а эти выпилить. Сам решив что для меня система, и что нужно, а что в пень. В винде же майки это вообще никогда нормально не умели. Поэтому там и инсталл компонентов винды горбатый, и с софтом так же, а на 500 машин в автоматическом режиме софт поставить - не то что совсем нельзя, но там такие грабли со всем этим... а на линухе это даже нуб однострочником сможет за полчаса оформить, даже голыми руками, хотя есть дюжина систем автоматизации развивающие идею. Как-то так и понимаешь что мощная система для продвинутого технаря которому не пофиг на свою эффективность, а что инструмент офисных планктошек обклацывающих 200 файлов вручную.
	Ответить | Правка | Наверх | Cообщить модератору

	196. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (38), 12-Июн-22, 14:07
	> Заменив либу на фикшеную я уверен что починилось ВСЕ А остальной код вы проверили, вдруг в других местах тоже есть уязвимости? Запуская чужую программу ни в чём нельзя быть уверенным.
	Ответить | Правка | Наверх | Cообщить модератору

	203. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+2 +/–
	Сообщение от Neon (??), 13-Июн-22, 03:42
	> Заменив либу на фикшеную я уверен что починилось ВСЕ. Заменив либу на фикшеную, можно ВСЁ поломать.))) Классно поменяли.
	Ответить | Правка | К родителю #181 | Наверх | Cообщить модератору

	221. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (220), 13-Июн-22, 20:31
	> В идеале наверное должно быть разделение на собственно операционную систему, системные утилиты и на пользовательские приложения Поздравляю, ты изобрел FreeBSD с ее делением на distributions и ports
	Ответить | Правка | К родителю #175 | Наверх | Cообщить модератору

	226. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 14-Июн-22, 08:10
	Спасибо, теперь я понял эти постоянные нападки на BSD. В GNU/Linux именно свобода, а не какие-то технические аспекты, запрещает линковаться статически.
	Ответить | Правка | Наверх | Cообщить модератору

	228. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 14-Июн-22, 17:26
	За что, среди прочего, фряху и люблю. Есть минимальный набор из загрузчика, ядра и всякой мелочевки вроде шелла и сишного компилятора - они фряху, собственно, и составляют и это добро разрабы фряхи пилят. А все остальное - порты, которые пилят авторы этого всего остального (для простоты к портам отношу не только сорцы, но и собранные из них пакеты). Ни тебе майнтайнеров, ни сотен сортов убунты, отличающихся только названиями и нескучными обоями, ни прочего ненужного вроде пафосных речей жирного нечесанного гуру. Да синтаксис pf, имхо, получше чем у iptables:)
	Ответить | Правка | Наверх | Cообщить модератору

	230. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от n00by (ok), 14-Июн-22, 17:55
	Что бы что-то перехватить в монолитном исполняемом файле, врезать инструкции перехода на свой код, в общем случае потребуется дизассемблер и гарантии, что модифицируемый код не исполняется. Т.е. девятый "Б" сходит со сцены. Гуру учит так не делать исходя из борьбы за всё хорошее против всего плохого. Ведь не просто Linux, а GNU/Linux. Этот момент я прохлопал, поскольку мало интересуюсь лицензиями.
	Ответить | Правка | Наверх | Cообщить модератору

	171. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 11-Июн-22, 20:04
	> Об этом должен беспокоиться разработчик конкретной программы, а не разработчик ОС или > тем более пользователь. Не? Проблема в том что в результате 1) Все отдано на откуп легиону каких-то раздолбаев. Или не раздолбаев. Как повезет. 2) Никаких более-менее гарантированных однотипных политик реакции на вулны у Васянов нет. А у половины Васянов вообще не прописано как они на это реагируют - им просто пофиг. 3) Васян кстати ни разу не майнтайнер либы и только пользуется ей без заморочек. Поэтому за вулнами не следит. 4) Эффективного механизма пингануть всех "Васянов" пользовавшихся "zlib" с запросом это починить - в маздайке просто нет. Итого: в линуксе содержать систему и софт в ней в надлежащем виде может быть в десятки раз проще. Я из винды на пингвины ушел, имел возможность сравнить как оно. И пакетный менеджер некисло меня разгружает от упомянутой рутины. Для меня это очень большой плюс Linux как системы. Все потуги майков, что vcpkg, что маздайстор решали что угодно кроме вот этого комплекса проблем. В осномном либо лок на свою экосистему, либо выцыганивание денег в пользу тех кому лично мне платить денег просто жалко, когда есть открыто, бесплатно и тупо лучше чем вон то.
	Ответить | Правка | К родителю #128 | Наверх | Cообщить модератору

	229. "Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..."	+/–
	Сообщение от Аноним (-), 14-Июн-22, 17:35
	Ну так не пользуйся ненужным, в чем проблема-то? Если найдется уязвимость в каком-нибудь kernel32.dll - мелкомягкие ее сами закроют и в случае с динамической линковкой для тебя ничего не меняется.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема