Все новости от 22 января 1999 г.

«Троянский конь» пробрался в крепость Unix

Те администраторы Unix-систем, которые в течение последних суток загрузили и установили у себя популярное ПО администрирования TCP Wrappers, могут открыть доступ хакерам к своим сетям, даже не подозревая об этом. Официальные представители организации Computer Emergency Response Team (СЕРТ) подтвердили, что инструмент, предлагаемый бесплатно на многих FTP-сайтах, на некоторых из них был заменен внешне похожей на него программой, которая на самом деле является «троянским конем».

«Нечто подобное должно было произойти — крупный скандал был лишь вопросом времени, — прокомментировал консультант по Unix-системам Джефф Фрэнсис (Jeff Francis). — TCP Wrappers применяют буквально все. Я установил его даже на свой домашний компьютер».

После загрузки программы, когда системный администратор начинает процесс инсталляции, она незаметно отправляет электронное сообщение по внешним адресам, оповещая автора «троянского коня» об успешном внедрении. Затем программа проверяет порт 421 на наличие соединения, и когда оно установлено, передает удаленному компьютеру привилегированные права доступа, так что хакер может делать на пораженной машине все, что пожелает. В частности, фальшивая программа отправляет хозяину информацию, полученную при выполнении команд whoami и uname –a.

По словам руководителя отделения CERT Internet Response Джеффа Карпентера (Jeff Carpenter), ему не известны действительно пострадавшие сети, тем не менее, вследствие потенциальной опасности CERT предприняла необычный шаг, поставив в известность средства массовой информации. «Это очень популярная программа. Ее применяют многие организации, так как она позволяет администраторам точнее управлять доступом при большей гибкости по сравнению со встроенными средствами», — пояснил Карпентер. По иронии судьбы, TCP Wrappers служит именно для того, чтобы контролировать и фильтровать обращения к сетевым службам Unix извне.

Представители CERT сообщили, что, по крайней мере, 52 FTP-сайта загрузили зараженные копии TCP Wrappers, хотя на самом деле их число, вероятно, гораздо больше, так как многие из них имеют зеркала. Иными словами, копии «троянского коня» распространяются множеством FTP-серверов. Под подозрение попадает любая версия TCP Wrappers 7.6, загруженная в виде файла tcp_wrappers_7.6.tar.gz. Возможно, что на ряде FTP-серверов «троянский конь» присутствует с 6 час. 16 мин. по Гринвичу 21 января 1999 года.

За более подробной информацией о методах обнаружения фальшивой программы обращайтесь на страницу рекомендаций сервера CERT. Чистую копию TCP Wrappers можно получить в CERT по адресу: ftp://ftp.cert.org/pub/tools/tcp_wrappers/tcp_wrappers_7.6.tar.gz.