21:58 15.06.2010 Дистрибутив Unreal подменили зараженным вариантом | |
В прошедшие выходные служба поддержки исходного файла Unreal IRCd Server обнаружила бэкдор в дистрибутиве программы, который доступен для скачивания с его сайтов-зеркал. Полный текст сообщения доступен здесь, а внимание специалистов Лаборатории Касперского привлекла следующая строчка в этом сообщении: «Судя по всему, дистрибутив Unreal3.2.8.1.tar.gz был подменен зараженным вариантом ещё в ноябре 2009 года (по крайней мере на нотдельных зеркалах). По-видимому, до сих пор этого никто не замечал». Получается, что программа, зараженная трояном, была доступна для
скачивания в течение почти 8 месяцев, но выяснилось это только сейчас. Несмотря на то что официальные исходники были почищены, за
несколько минут поиска, в сети всёже удалось отыскать версию программы, содержащую троян.
Зараженную версию распознать относительно легко — она содержит следующий MD-хэш: 752e46f2d873c1679fa99de3f52a274d Unreal3.2.8.1.tar.gz Так каким же образом работает бэкдор? Вот фрагмент зараженного кода:
Как видно, заражение связано всего с двумя дополнительными строчками кода. Еще две строчки содержат условие, при котором происходит внедрение вредоносного кода – в том случае если определен параметр DEBUGMODE3. Здесь происходит следующее: в модуле "s_bsd.c” содержится функция "read_packet”, которая обрабатывает каждый пакет данных, отправляемый на сервер. Если распознается комадна "AB” (что в данном случае определяется DEBUGMODE3_INFO), то остаток данных в буфере прямо посылается в операционную систему на выполнение через "system()”. Просто и незатейливо. Какова же мораль сей басни? Во-первых, исходный код современных приложений состоит из сотен тысяч строк, и пару строк вредоносного кода очень легко проглядеть. Случай далеко не первый, и мы уверены, что в свободном доступе лежит еще не одно зараженное open-source приложение. Самое неприятное во всём этом — это то, что внедренный троян распознали только через 8 месяцев. Интересно, сколько времени потребуется на это в следующий раз? | |
|
| |
| Всего комментариев: 0 | |