Linux.Darlloz – nowy robak dla Linuksa

Firma Symantec wykryła niedawno nowy rodzaj zagrożenia dla Linuksa – robaka Linux.Darlloz. Robak atakuje nie tylko same systemy Linux, ale również wiele urządzeń, opartych na jądrze Linux, w tym routery i przystawki STB. Do rozprzestrzeniania się wykorzystuje lukę w PHP – CVE-2012-1823. Błąd został załatany w maju 2012 roku, jednakże autor zagrożenia stworzył robaka, bazując na kodzie Proof of Concept, wydanym pod koniec października 2013 roku.

Oto, jaka działa robak:
Po aktywacji, generowany jest losowy adres IP, uzyskiwany dostęp do specyficznej ścieżki na maszynie z dobrze znanymi ID i hasłami, a następnie wysyłane jest żądanie HTTP POST, które sprawdza lukę. Jeżeli podatność nie została załatana, pobierany jest robak z nieznanego serwera i rozpoczynają się poszukiwania następnego celu. Aktualnie robak posiada jedynie zdolność infekowania maszyn opartych na 32 bitowych systemach operacyjnych z procesorami Intela, z racji binarnego kodu napisanego specyficznie pod tą architekturę. Na serwerze jednakże można znaleźć wersje na architektury: ARM, PPC, MIPS i MIPSEL.