الفيروسات في جنو / لينكس: حقيقة أم خرافة؟

كلما انتهى النقاش فيروس y جنو / لينكس لا يستغرق ظهور المستخدم وقتًا طويلاً (عادةً Windows) كيو النرد:

«لا توجد فيروسات في Linux لأن مبتكري هذه البرامج الخبيثة لا يضيعون الوقت في فعل شيء لنظام تشغيل لا يستخدمه أحد تقريبًا »

التي كنت أجب عليها دائمًا:

"المشكلة ليست في ذلك ، لكن منشئو هذه البرامج الخبيثة لن يضيعوا الوقت في إنشاء شيء سيتم تصحيحه مع التحديث الأول للنظام ، حتى في أقل من 24 ساعة"

ولم أكن مخطئا ، حيث نشر هذا المقال الممتاز في رقم 90 (عام 2008) من مجلة Todo Linux. ممثله ديفيد سانتو أورسيرو يوفر لنا بطريقة فنية (لكن من السهل فهمها) شرح السبب جنو / لينكس يفتقر إلى هذا النوع من البرامج الضارة.

100 ٪ recomendado. الآن سيكون لديهم أكثر من مادة مقنعة لإسكات أي شخص يتحدث دون أساس متين حول هذا الموضوع.

تنزيل المقال (PDF): أساطير وحقائق: لينكس والفيروسات

محرر:

ها هي المقالة المنسوخة ، حيث نرى أنه من المريح أكثر أن تقرأ بهذه الطريقة:

================================================== ======================

إن الجدل حول لينكس والفيروس ليس بالأمر الجديد. في كثير من الأحيان نرى بريدًا إلكترونيًا في قائمة يسألك عما إذا كانت هناك فيروسات لنظام Linux ؛ ويجيب شخص ما تلقائيًا بشكل إيجابي ويدعي أنه إذا لم يكن أكثر شيوعًا ، فذلك لأن Linux ليس منتشرًا مثل Windows. هناك أيضًا بيانات صحفية متكررة من مطوري برامج مكافحة الفيروسات يقولون إنهم يطلقون إصدارات من فيروسات Linux.

أنا شخصياً أجريت مناقشات بين الحين والآخر مع أشخاص مختلفين عن طريق البريد ، أو عن طريق قائمة التوزيع ، فيما يتعلق بمسألة وجود أو عدم وجود فيروسات في Linux. إنها أسطورة ، لكنها معقدة لتدمير أسطورة أو بالأحرى خدعة ، خاصة إذا كانت ناجمة عن مصلحة اقتصادية. شخص ما مهتم بنقل فكرة أنه إذا لم يكن لدى Linux مثل هذه الأنواع من المشاكل ، فذلك لأن قلة قليلة من الناس تستخدمه.

في وقت نشر هذا التقرير ، كنت أرغب في كتابة نص نهائي حول وجود الفيروسات في Linux. لسوء الحظ ، عندما تنتشر الخرافات والمصالح الاقتصادية ، من الصعب بناء شيء نهائي.
ومع ذلك ، سنحاول تقديم حجة كاملة معقولة هنا لنزع سلاح هجمات أي شخص يريد المجادلة.

ما هو الفيروس؟

بادئ ذي بدء ، سنبدأ بتحديد ماهية الفيروس. هو برنامج ينسخ نفسه ويعمل تلقائيًا ، ويهدف إلى تغيير الأداء الطبيعي للكمبيوتر ، دون إذن أو علم المستخدم. للقيام بذلك ، تستبدل الفيروسات الملفات القابلة للتنفيذ بآخرين مصابين بكودهم. التعريف قياسي ، وهو ملخص من سطر واحد لإدخال ويكيبيديا حول الفيروسات.
الجزء الأكثر أهمية في هذا التعريف ، وما يميز الفيروس عن البرامج الضارة الأخرى ، هو أن الفيروس يقوم بتثبيت نفسه دون إذن أو علم المستخدم. إذا لم يتم تثبيت نفسه ، فهو ليس فيروسًا: يمكن أن يكون برنامج rootkit أو حصان طروادة.

rootkit هو تصحيح kernel يسمح لك بإخفاء عمليات معينة من أدوات منطقة المستخدم. بمعنى آخر ، إنه تعديل لشفرة مصدر kernel والغرض منه هو أن الأدوات المساعدة التي تسمح لنا برؤية ما يتم تشغيله في أي وقت لا تتخيل عملية معينة أو مستخدمًا معينًا.

يعتبر حصان طروادة مشابهًا: فهو تعديل على التعليمات البرمجية المصدر لخدمة معينة لإخفاء نشاط احتيالي معين. في كلتا الحالتين ، من الضروري الحصول على الكود المصدري للإصدار المحدد المثبت على جهاز Linux ، وتصحيح الكود وإعادة تجميعه ، والحصول على امتيازات المسؤول ، وتثبيت الملف القابل للتنفيذ المصحح ، وتهيئة الخدمة - في حالة حصان طروادة - أو نظام التشغيل. كاملة - في حالة
rootkit–. العملية ، كما نرى ، ليست تافهة ، ولا أحد يستطيع أن يفعل كل هذا "بالخطأ". يتطلب كلاهما في التثبيت أن يقوم شخص ما لديه امتيازات المسؤول ، بوعي ، بتنفيذ سلسلة من الخطوات لاتخاذ قرارات ذات طبيعة فنية.

وهذا ليس فارقًا بسيطًا معنويًا غير مهم: لكي يقوم الفيروس بتثبيت نفسه ، كل ما علينا فعله هو تشغيل برنامج مصاب كمستخدم مشترك. من ناحية أخرى ، من أجل تثبيت برنامج rootkit أو حصان طروادة ، من الضروري أن يقوم الإنسان الضار شخصيًا بإدخال الحساب الجذر للجهاز ، وبطريقة غير آلية ، يقوم بتنفيذ سلسلة من الخطوات التي يمكن اكتشافها. ينتشر الفيروس بسرعة وكفاءة ؛ يحتاج برنامج rootkit أو حصان طروادة إلى ملاحقتنا على وجه التحديد.

انتقال الفيروسات على لينكس:

وبالتالي ، فإن آلية انتقال الفيروس هي ما يعرفه حقًا على هذا النحو ، وهو أساس وجوده. يعتبر نظام التشغيل أكثر حساسية للفيروسات كلما كان من الأسهل تطوير آلية نقل فعالة ومؤتمتة.

افترض أن لدينا فيروسًا يريد أن ينتشر. لنفترض أنه تم إطلاقه من قبل مستخدم عادي ، ببراءة ، عند بدء تشغيل برنامج. يحتوي هذا الفيروس على آليتي نقل حصريًا:

• استنساخ نفسه عن طريق لمس ذاكرة العمليات الأخرى ، وربط نفسه بها في وقت التشغيل.
• فتح الملفات التنفيذية لنظام الملفات ، وإضافة كودها --payload - إلى الملف القابل للتنفيذ.

جميع الفيروسات التي يمكننا اعتبارها على هذا النحو لديها واحدة على الأقل من آليتي النقل هاتين. يا الاثنين. لا توجد آليات أخرى.
فيما يتعلق بالآلية الأولى ، دعنا نتذكر بنية الذاكرة الافتراضية لنظام Linux وكيفية عمل معالجات intel. هذه لها أربع حلقات ، مرقمة من 0 إلى 3 ؛ كلما انخفض الرقم ، زادت الامتيازات التي يتمتع بها الرمز الذي يعمل في تلك الحلقة. تتوافق هذه الحلقات مع حالات المعالج ، وبالتالي ، ما يمكن عمله مع وجود نظام في حلقة معينة. يستخدم Linux الحلقة 0 للنواة ، والحلقة 3 للعمليات. لا يوجد رمز عملية يعمل على الحلقة 0 ، ولا يوجد رمز kernel يعمل على الحلقة 3. لا يوجد سوى نقطة دخول واحدة للنواة من الحلقة 3: مقاطعة 80h ، والتي تسمح بالقفز من المنطقة التي توجد فيها رمز المستخدم إلى المنطقة التي يوجد بها رمز النواة.

إن بنية نظام يونكس بشكل عام ونظام لينوكس بشكل خاص لا تجعل انتشار الفيروسات ممكنًا.

النواة باستخدام الذاكرة الظاهرية تجعل كل عملية تعتقد أن لديها كل الذاكرة لنفسها. يمكن للعملية - التي تعمل في الحلقة 3 - رؤية الذاكرة الافتراضية التي تم تكوينها فقط للحلقة التي تعمل فيها. لا يتعلق الأمر بحماية ذاكرة العمليات الأخرى ؛ هو أنه بالنسبة لعملية واحدة ، تكون ذاكرة الآخرين خارج مساحة العنوان. إذا كانت هناك عملية تفوق على جميع عناوين الذاكرة ، فلن تتمكن حتى من الإشارة إلى عنوان ذاكرة لعملية أخرى.

لماذا لا يمكن خداع هذا؟
لتعديل ما تم التعليق عليه - على سبيل المثال ، إنشاء نقاط دخول في الحلقة 0 ، وتعديل متجهات المقاطعة ، وتعديل الذاكرة الافتراضية ، وتعديل LGDT ... - هذا ممكن فقط من الحلقة 0.
بمعنى ، لكي تتمكن العملية من لمس ذاكرة العمليات الأخرى أو النواة ، يجب أن تكون النواة نفسها. وحقيقة أن هناك نقطة دخول واحدة وأن المعلمات يتم تمريرها عبر السجلات تعقد المصيدة - في الواقع ، يتم تمريرها عبر السجل حتى ما يجب القيام به ، والذي يتم تنفيذه كحالة في روتين الانتباه. مقاطعة 80 ساعة.
سيناريو آخر هو حالة أنظمة التشغيل التي تحتوي على مئات المكالمات غير الموثقة للرنين 0 ، حيث يكون ذلك ممكنًا - يمكن دائمًا أن يكون هناك مكالمة منسية سيئة التنفيذ يمكن تطوير مصيدة عليها - ولكن في حالة نظام تشغيل به هذه آلية خطوة بسيطة ، فهي ليست كذلك.

لذلك ، تمنع بنية الذاكرة الظاهرية آلية الإرسال هذه ؛ لا توجد أي عملية - ولا حتى أولئك الذين لديهم امتيازات الجذر - لديهم طريقة للوصول إلى ذاكرة الآخرين. يمكننا أن نجادل بأن العملية يمكن أن ترى النواة ؛ لقد تم تعيينه من عنوان الذاكرة المنطقي 0xC0000000. ولكن بسبب حلقة المعالج التي تعمل عليها ، لا يمكنك تعديلها ؛ سوف تولد فخًا ، لأنها مناطق ذاكرة تنتمي إلى حلقة أخرى.

سيكون "الحل" برنامجًا يعدل رمز kernel عندما يكون ملفًا. لكن حقيقة إعادة تجميعها تجعل ذلك مستحيلًا. لا يمكن تصحيح الملف الثنائي ، حيث يوجد الملايين من حبات ثنائية مختلفة في العالم. ببساطة ، عند إعادة تجميعها ، قاموا بوضع أو إزالة شيء من الملف القابل للتنفيذ kernel ، أو قاموا بتغيير حجم بعض الملصقات التي تحدد إصدار التجميع - وهو أمر يتم القيام به حتى عن غير قصد - لا يمكن تطبيق التصحيح الثنائي. سيكون البديل هو تنزيل الكود المصدري من الإنترنت ، وتصحيحه ، وتكوينه للأجهزة المناسبة ، وتجميعه ، وتثبيته ، وإعادة تشغيل الجهاز. كل هذا يجب أن يتم بواسطة برنامج تلقائيًا. إنه تحد كبير في مجال الذكاء الاصطناعي.
كما نرى ، لا يستطيع حتى الفيروس كجذر تخطي هذا الحاجز. الحل الوحيد المتبقي هو النقل بين الملفات القابلة للتنفيذ. الذي لا يعمل أيضًا كما سنرى أدناه.

تجربتي كمسؤول:

منذ أكثر من عشر سنوات كنت أدير Linux ، مع تثبيتات على مئات الأجهزة في مراكز البيانات ، ومختبرات الطلاب ، والشركات ، إلخ.

• لم أصب بفيروس قط
• لم أقابل شخصًا لم أقابله أبدًا
• لم أقابل أبدًا شخصًا قابل شخصًا

أعرف عددًا أكبر من الأشخاص الذين شاهدوا وحش بحيرة لوخ نيس أكثر من الذين شاهدوا فيروسات لينكس.
أنا شخصياً أعترف أنني كنت متهورًا ، وقد أطلقت العديد من البرامج التي أطلق عليها "المتخصصون" أنفسهم "فيروسات لينكس" - من الآن فصاعدًا ، سأطلق عليهم اسم فيروسات ، وليس لجعل النص متحذلقًا - من حسابي المعتاد على جهازي ، لمعرفة ما إذا كان الفيروس ممكنًا: كل من فيروس bash الذي ينتشر هناك - والذي ، بالمناسبة ، لم يصيب أي ملفات - وفيروس أصبح مشهورًا جدًا ، وظهر في الصحافة. حاولت تثبيته ؛ وبعد عشرين دقيقة من العمل ، استسلمت عندما رأيت أن أحد مطالبه كان الحصول على دليل tmp على قسم من نوع MSDOS. أنا شخصياً لا أعرف أي شخص يقوم بإنشاء قسم معين لـ tmp وتنسيقه على FAT.
في الواقع ، تتطلب بعض الفيروسات المزعومة التي اختبرتها لنظام Linux مستوى عالٍ من المعرفة وكلمة مرور الجذر ليتم تثبيتها. يمكننا أن نعتبر ، على الأقل ، فيروساً "سيئاً" إذا احتاج إلى تدخلنا النشط لإصابة الجهاز. علاوة على ذلك ، في بعض الحالات تتطلب معرفة واسعة بـ UNIX وكلمة مرور الجذر ؛ وهو بعيد تمامًا عن التثبيت التلقائي المفترض أن يكون.

إصابة الملفات التنفيذية على Linux:

في نظام Linux ، يمكن للعملية ببساطة أن تفعل ما يسمح به مستخدمها الفعال ومجموعتها الفعالة. صحيح أن هناك آليات لاستبدال المستخدم الحقيقي بالنقود ، ولكن القليل آخر. إذا نظرنا إلى مكان وجود الملفات التنفيذية ، فسنرى أن الجذر فقط لديه امتيازات الكتابة في كل من هذه الأدلة والملفات الموجودة. بمعنى آخر ، يمكن لـ root فقط تعديل هذه الملفات. هذا هو الحال في Unix منذ السبعينيات ، وفي Linux منذ نشأته ، وفي نظام الملفات الذي يدعم الامتيازات ، لم يظهر أي خطأ حتى الآن يسمح بسلوك آخر. بنية ملفات ELF القابلة للتنفيذ معروفة وموثقة جيدًا ، لذلك من الممكن تقنيًا لملف من هذا النوع أن يقوم بتحميل الحمولة في ملف ELF آخر ... طالما أن المستخدم الفعال للمجموعة الأولى أو المجموعة الفعالة للأول لديه امتيازات الوصول. القراءة والكتابة والتنفيذ على الملف الثاني. كم عدد الملفات التنفيذية التي يمكن أن يصيبها كمستخدم مشترك؟
إجابة هذا السؤال بسيطة ، إذا أردنا معرفة عدد الملفات التي يمكن أن "نصيبها" ، فإننا نطلق الأمر:

$ find / -type f -perm -o=rwx -o \( -perm -g=rwx -group `id -g` \) -o \( -perm -u=rwx -user `id -u` \) -print 2> /dev/null | grep -v /proc

نستثني الدليل / proc لأنه نظام ملفات افتراضي يعرض معلومات حول كيفية عمل نظام التشغيل. لا تشكل ملفات نوع الملف التي تتمتع بامتيازات التنفيذ التي سنجدها مشكلة ، لأنها غالبًا ما تكون روابط افتراضية يبدو أنها تمت قراءتها وكتابتها وتنفيذها ، وإذا حاول المستخدم ذلك ، فلن تعمل أبدًا. كما أننا نتجاهل الأخطاء الكثيرة - نظرًا لوجود العديد من الدلائل التي لا يستطيع المستخدم العادي إدخالها - خاصة في / proc و / home - وهذا النص يستغرق وقتًا طويلاً. في حالتنا الخاصة ، في آلة يعمل فيها أربعة أشخاص ، كانت الإجابة:

/tmp/.ICE-unix/dcop52651205225188
/tmp/.ICE-unix/5279
/home/irbis/kradview-1.2/src
/kradview

يُظهر الإخراج ثلاثة ملفات يمكن أن تُصاب إذا تم تشغيل فيروس افتراضي. الأول والثاني عبارة عن ملفات من نوع مقبس Unix يتم حذفها عند بدء التشغيل - ولا يمكن أن تتأثر بفيروس - والثالث عبارة عن ملف لبرنامج قيد التطوير ، يتم حذفه في كل مرة يتم إعادة تجميعه. لن ينتشر الفيروس من الناحية العملية.
مما نراه ، فإن الطريقة الوحيدة لنشر الحمولة هي أن تكون جذرًا. في هذه الحالة ، لكي يعمل الفيروس ، يجب أن يتمتع المستخدمون دائمًا بامتيازات المسؤول. في هذه الحالة ، يمكن أن تصيب الملفات. ولكن هنا يأتي المصيد: لنقل العدوى ، تحتاج إلى أخذ ملف تنفيذي آخر وإرساله بالبريد إلى مستخدم آخر يستخدم الجهاز فقط كجذر ، وتكرار العملية.
يمكن أن يكون هذا هو الحال في أنظمة التشغيل حيث يكون من الضروري أن تكون مسؤولاً للمهام الشائعة أو لتشغيل العديد من التطبيقات اليومية. ولكن في نظام Unix ، من الضروري أن تكون مسؤولاً لتهيئة الجهاز وتعديل ملفات التكوين ، وبالتالي فإن عدد المستخدمين الذين يستخدمهم حساب الجذر كحساب يومي صغير. انها أكثر؛ بعض توزيعات Linux لا تحتوي حتى على حساب الجذر. في كل منهم تقريبًا ، إذا قمت بالوصول إلى البيئة الرسومية على هذا النحو ، تتغير الخلفية إلى اللون الأحمر الشديد ، وتتكرر الرسائل الثابتة التي تذكرك بأنه لا ينبغي استخدام هذا الحساب.
أخيرًا ، كل ما يجب القيام به كجذر يمكن القيام به باستخدام أمر sudo دون مخاطرة.
لهذا السبب ، في Linux لا يمكن أن يصيب الملف القابل للتنفيذ الآخرين طالما أننا لا نستخدم حساب الجذر كحساب الاستخدام الشائع ؛ وعلى الرغم من إصرار شركات مكافحة الفيروسات على القول بوجود فيروسات لنظام Linux ، فإن أقرب شيء يمكن إنشاؤه في Linux هو حصان طروادة في منطقة المستخدم. الطريقة الوحيدة التي يمكن أن تؤثر بها أحصنة طروادة على شيء ما على النظام هي تشغيله كجذر مع الامتيازات الضرورية. إذا كنا نستخدم الجهاز عادةً كمستخدمين عاديين ، فلا يمكن لعملية أطلقها مستخدم مشترك أن تصيب النظام.

الخرافات والأكاذيب:

نجد الكثير من الخرافات والخدع والأكاذيب الواضحة حول الفيروسات في Linux. دعنا نضع قائمة بها بناءً على مناقشة جرت منذ بعض الوقت مع ممثل عن إحدى الشركات المصنعة لمضاد فيروسات لنظام لينكس الذي شعر بالإهانة من مقال نُشر في نفس المجلة.
هذا النقاش هو مثال مرجعي جيد ، حيث أنه يمس جميع جوانب الفيروسات في Linux. سنقوم بمراجعة كل هذه الأساطير واحدة تلو الأخرى كما تمت مناقشتها في تلك المناقشة المحددة ، والتي تكررت عدة مرات في المنتديات الأخرى.

الأسطورة 1:
"لا تحتاج جميع البرامج الضارة ، وخاصة الفيروسات ، إلى امتيازات الجذر للإصابة ، خاصة في حالة الفيروسات القابلة للتنفيذ (تنسيق ELF) التي تصيب الملفات التنفيذية الأخرى".

Respuesta:
من يقدم مثل هذا الادعاء لا يعرف كيف يعمل نظام امتيازات Unix. من أجل التأثير على ملف ، يحتاج الفيروس إلى امتياز القراءة - يجب قراءته لتعديله - ويجب كتابته - يجب كتابته حتى يكون التعديل صالحًا - على الملف القابل للتنفيذ الذي يريد تنفيذه.
هذا هو الحال دائمًا ، دون استثناء. وفي كل توزيعات ، لا يمتلك المستخدمون غير الجذر هذه الامتيازات. ثم ببساطة مع عدم وجود الجذر ، فإن العدوى غير ممكنة. الاختبار التجريبي: في القسم السابق ، رأينا نصًا بسيطًا للتحقق من نطاق الملفات التي يمكن أن تتأثر بالعدوى. إذا قمنا بتشغيله على أجهزتنا ، فسنرى كيف أنه مهمل ، وفيما يتعلق بملفات النظام ، فارغ. أيضًا ، على عكس أنظمة التشغيل مثل Windows ، لا تحتاج إلى امتيازات المسؤول لأداء المهام الشائعة مع البرامج التي يشيع استخدامها من قبل المستخدمين العاديين.

الأسطورة 2:
"كما أنهم لا يحتاجون إلى أن يكونوا جذرًا للدخول إلى النظام عن بُعد ، في حالة Slapper ، وهي دودة استغلت ثغرة أمنية في Apache's SSL (الشهادات التي تسمح بالاتصال الآمن) ، وأنشأت شبكتها الخاصة من أجهزة الزومبي في سبتمبر 2002".

Respuesta:
هذا المثال لا يشير إلى فيروس بل إلى دودة. الفرق مهم جدًا: الدودة هي برنامج يستغل خدمة للإنترنت لنقل نفسها. لا يؤثر على البرامج المحلية. لذلك ، فإنه يؤثر فقط على الخوادم ؛ لا لآلات معينة.
كانت الديدان دائمًا قليلة جدًا وذات معدل حدوث ضئيل. وُلد الثلاثة المهمون حقًا في الثمانينيات ، في وقت كان فيه الإنترنت بريئًا ، وكان الجميع يثق في الجميع. دعونا نتذكر أنهم هم الذين أثروا على sendmail و fingerd و rexec. الأمور اليوم أكثر تعقيدًا. على الرغم من أننا لا نستطيع أن ننكر أنها لا تزال موجودة وأنها ، إذا تركت دون رادع ، فهي خطيرة للغاية. لكن الآن ، أوقات رد الفعل تجاه الديدان قصيرة جدًا. هذه هي حالة الطارق: دودة تم إنشاؤها على ثغرة أمنية تم اكتشافها - وتصحيحها - قبل شهرين من ظهور الدودة نفسها.
حتى لو افترضنا أن كل شخص يستخدم Linux لديه Apache مثبتًا ويعمل طوال الوقت ، فإن مجرد تحديث الحزم شهريًا سيكون أكثر من كافٍ لعدم التعرض لأي مخاطر.
صحيح أن خطأ SSL الذي تسبب فيه Slapper كان حرجًا - في الواقع ، أكبر خطأ تم العثور عليه في تاريخ SSL2 و SSL3 بأكمله - وبالتالي تم إصلاحه في غضون ساعات قليلة. بعد شهرين من اكتشاف هذه المشكلة وحلها ، صنع شخص ما دودة على خلل تم تصحيحه بالفعل ، وأن هذا هو أقوى مثال يمكن تقديمه على أنه نقطة ضعف ، على الأقل يُطمئن.
كقاعدة عامة ، الحل للديدان هو عدم شراء مضاد فيروسات وتثبيته وإضاعة وقت الحوسبة لإبقائه مقيما. الحل هو الاستفادة من نظام التحديث الأمني ​​لتوزيعنا: بتحديث التوزيع ، لن تكون هناك مشاكل. يعتبر تشغيل الخدمات التي نحتاجها فقط فكرة جيدة لسببين: نحن نحسن استخدام الموارد ، ونتجنب المشاكل الأمنية.

الأسطورة 3:
"لا أعتقد أن اللب منيع. في الواقع ، هناك مجموعة من البرامج الخبيثة تسمى LRK (Linux Rootkits Kernel) ، والتي تعتمد بشكل دقيق على استغلال الثغرات الأمنية في وحدات النواة واستبدال ثنائيات النظام.".

Respuesta:
الجذور الخفية هي في الأساس رقعة نواة تسمح لك بإخفاء وجود بعض المستخدمين والعمليات من الأدوات المعتادة ، وذلك بفضل حقيقة أنها لن تظهر في دليل / proc. الشيء الطبيعي هو أنهم يستخدمونها في نهاية الهجوم ، في المقام الأول ، سوف يستغلون ثغرة أمنية بعيدة للوصول إلى أجهزتنا. ثم يقومون بسلسلة من الهجمات لتصعيد الامتيازات حتى يكون لديهم حساب الجذر. تكمن المشكلة عند قيامهم بذلك في كيفية تثبيت خدمة على أجهزتنا دون أن يتم اكتشافها: وهنا يأتي دور rootkit. يتم إنشاء مستخدم سيكون المستخدم الفعال للخدمة التي نريد إخفاءها ، ويقومون بتثبيت rootkit ، ويقومون بإخفاء كل من هذا المستخدم وجميع العمليات التي تخص هذا المستخدم.
كيفية إخفاء وجود مستخدم مفيد للفيروس هو شيء يمكننا مناقشته مطولًا ، ولكن يبدو أن الفيروس الذي يستخدم برنامج rootkit لتثبيت نفسه أمر ممتع. لنتخيل آليات الفيروس (في الكود الكاذب):
1) دخول الفيروس إلى النظام.
2) حدد موقع شفرة مصدر kernel. إذا لم يكن كذلك ، فإنه يقوم بتثبيته بنفسه.
3) قم بتكوين النواة لخيارات الأجهزة التي تنطبق على الجهاز المعني.
4) تجميع النواة.
5) تثبيت النواة الجديدة ؛ تعديل LILO أو GRUB إذا لزم الأمر.
6) أعد تشغيل الجهاز.

تتطلب الخطوتان (5) و (6) امتيازات الجذر. من المعقد إلى حد ما عدم اكتشاف الخطوتين (4) و (6) من قبل المصابين. لكن الشيء المضحك هو أن هناك شخصًا يعتقد أن هناك برنامجًا يمكنه تنفيذ الخطوة (2) و (3) تلقائيًا.
كتتويج ، إذا صادفنا شخصًا يخبرنا "عندما يكون هناك المزيد من أجهزة Linux ، سيكون هناك المزيد من الفيروسات" ، وأوصى "بتثبيت برنامج مكافحة فيروسات وتحديثه باستمرار" ، فقد يكون ذلك مرتبطًا بالشركة التي تبيع برامج مكافحة الفيروسات والتحديثات . كن مشبوهًا ، ربما نفس المالك.

مضاد فيروسات لينوكس:

صحيح أن هناك مضاد فيروسات جيد لنظام Linux. المشكلة هي أنهم لا يفعلون ما يجادل به دعاة مكافحة الفيروسات. وتتمثل مهمتها في تصفية البريد الذي ينتقل من البرامج الضارة والفيروسات إلى Windows ، وكذلك التحقق من وجود فيروسات Windows في المجلدات التي يتم تصديرها عبر SAMBA ؛ لذلك إذا استخدمنا أجهزتنا كبوابة بريد أو NAS لأجهزة Windows ، فيمكننا حمايتها.

الكتوم- AV:

لن ننهي تقريرنا دون الحديث عن مضاد فيروسات جنو / لينكس: كلاماف.
ClamAV هو مضاد فيروسات قوي للغاية من GPL يجمع معظم أنظمة Unix المتوفرة في السوق. وهي مصممة لتحليل المرفقات في رسائل البريد التي تمر عبر المحطة وتصفيتها بحثًا عن الفيروسات.
يتكامل هذا التطبيق تمامًا مع sendmail للسماح بتصفية الفيروسات التي يمكن تخزينها في خوادم Linux التي توفر البريد للشركات ؛ امتلاك قاعدة بيانات للفيروسات يتم تحديثها يوميًا ، بدعم رقمي. يتم تحديث قاعدة البيانات عدة مرات في اليوم ، وهو مشروع حيوي ومثير للاهتمام للغاية.
هذا البرنامج القوي قادر على تحليل الفيروسات حتى في المرفقات بتنسيقات أكثر تعقيدًا لفتحها ، مثل RAR (2.0) و Zip و Gzip و Bzip2 و Tar و MS OLE2 و MS Cabinet files و MS CHM (HTML COprinted) و MS SZDD.
يدعم ClamAV أيضًا ملفات البريد بتنسيق mbox و Maildir و RAW والملفات القابلة للتنفيذ المحمولة المضغوطة باستخدام UPX و FSG و Petite. يعد Clam AV و spamassassin الزوجين المثاليين لحماية عملاء Windows من خوادم بريد Unix.

الخلاصة

على السؤال هل توجد ثغرات أمنية في أنظمة لينوكس؟ الجواب بالتأكيد نعم.
لا أحد في عقله السليم يشك في ذلك. Linux ليس OpenBSD. شيء آخر هو نافذة الثغرة الأمنية التي تم تحديثها بشكل صحيح في نظام Linux. إذا سألنا أنفسنا ، هل هناك أدوات للاستفادة من هذه الثغرات الأمنية واستغلالها؟ حسنًا ، نعم ، لكن هذه ليست فيروسات ، إنها مآثر.

يجب أن يتغلب الفيروس على العديد من الصعوبات التي لطالما تم وضعها على أنها عيب / مشكلة في Linux من قبل المدافعين عن Windows ، والتي تعقد وجود فيروسات حقيقية - النواة التي يتم إعادة تجميعها ، العديد من الإصدارات للعديد من التطبيقات ، العديد من التوزيعات ، الأشياء التي لا يتم تمريرها تلقائيًا بشفافية إلى المستخدم ، وما إلى ذلك -. يجب تثبيت "الفيروسات" النظرية الحالية يدويًا من حساب الجذر. لكن هذا لا يمكن اعتباره فيروساً.
كما أقول دائمًا لطلابي: لا تصدقوني ، من فضلكم. قم بتنزيل وتثبيت برنامج rootkit على الجهاز. وإذا كنت تريد المزيد ، اقرأ الكود المصدري لـ "الفيروسات" في السوق. الحقيقة في شفرة المصدر. يصعب على فيروس "معلن نفسه" الاستمرار في تسميته بهذه الطريقة بعد قراءة التعليمات البرمجية الخاصة به. وإذا كنت لا تعرف كيفية قراءة التعليمات البرمجية ، فإن إجراء أمان بسيط واحد أوصي به: استخدم حساب الجذر فقط لإدارة الجهاز ، والحفاظ على تحديثات الأمان محدثة.
مع هذا وحده ، من المستحيل أن تدخل الفيروسات إليك ومن غير المرجح أن تهاجم الديدان أو أي شخص جهازك بنجاح.