Virus trong GNU / Linux: Sự thật hay huyền thoại?

Bất cứ khi nào cuộc tranh luận kết thúc Virus y GNU / Linux không mất nhiều thời gian để người dùng xuất hiện (thường là Windows) nó nói gì:

«Trong Linux không có vi-rút vì những người tạo ra các chương trình độc hại này không lãng phí thời gian để làm điều gì đó cho Hệ điều hành mà hầu như không ai sử dụng »

Tôi đã luôn trả lời:

"Vấn đề không phải là vậy, nhưng những người tạo ra các chương trình độc hại này sẽ không lãng phí thời gian tạo ra thứ gì đó sẽ được sửa chữa với bản cập nhật đầu tiên của Hệ thống, thậm chí trong vòng chưa đầy 24 giờ"

Và tôi đã không sai, khi bài báo xuất sắc này được xuất bản trên Số 90 (Năm 2008) từ Tạp chí Todo Linux. Diễn viên của anh ấy david santo orcero cung cấp cho chúng tôi một cách kỹ thuật (nhưng dễ hiểu) giải thích tại sao GNU / Linux thiếu loại phần mềm độc hại này.

100% được đề nghị. Bây giờ họ sẽ có nhiều hơn tài liệu thuyết phục để bịt miệng bất kỳ ai nói mà không có cơ sở vững chắc về chủ đề này.

Tải xuống bài viết (PDF): Huyền thoại và Sự thật: Linux và Virus

ĐÃ CHỈNH SỬA:

Đây là bài viết được chép lại, vì chúng tôi cho rằng đọc theo cách này sẽ thoải mái hơn nhiều:

================================================================= ======================

Cuộc tranh luận về Linux và virus không phải là mới. Chúng tôi thường xuyên thấy một email trên danh sách hỏi xem có vi rút cho Linux hay không; và tự động có người trả lời khẳng định và tuyên bố rằng nếu chúng không phổ biến hơn thì đó là vì Linux không phổ biến như Windows. Cũng có những thông cáo báo chí thường xuyên từ các nhà phát triển chống vi-rút nói rằng họ phát hành các phiên bản của vi-rút Linux.

Về mặt cá nhân, tôi đã thỉnh thoảng có cuộc thảo luận với những người khác nhau qua thư, hoặc theo danh sách phân phối, về vấn đề có hay không vi-rút tồn tại trong Linux. nó là một huyền thoại, nhưng rất phức tạp để phá bỏ một huyền thoại hay đúng hơn là một trò lừa bịp, đặc biệt nếu nó được gây ra bởi lợi ích kinh tế. Ai đó quan tâm đến việc truyền đạt ý tưởng rằng nếu Linux không có những vấn đề như thế này thì đó là bởi vì rất ít người sử dụng nó.

Vào thời điểm xuất bản báo cáo này, tôi muốn viết một văn bản dứt khoát về sự tồn tại của virus trong Linux. Thật không may, khi mê tín và lợi ích kinh tế tràn lan, rất khó để xây dựng một cái gì đó dứt khoát.
Tuy nhiên, chúng tôi sẽ cố gắng đưa ra một lập luận hoàn chỉnh hợp lý ở đây để giải trừ các cuộc tấn công của bất kỳ ai muốn tranh luận nó.

Virus là gì?

Trước hết, chúng ta sẽ bắt đầu bằng cách xác định virus là gì. Nó là một chương trình sao chép và chạy tự động, nhằm mục đích thay đổi hoạt động bình thường của máy tính mà không cần sự cho phép hoặc kiến ​​thức của người dùng. Để làm điều này, vi rút thay thế các tệp thực thi bằng những tệp khác bị nhiễm mã của chúng. Định nghĩa là tiêu chuẩn và là bản tóm tắt một dòng về mục nhập Wikipedia về vi rút.
Phần quan trọng nhất của định nghĩa này và điều khác biệt giữa vi rút với các phần mềm độc hại khác là vi rút tự cài đặt mà không có sự cho phép hoặc kiến ​​thức của người dùng. nếu nó không tự cài đặt, nó không phải là virus: nó có thể là rootkit hoặc Trojan.

Rootkit là một bản vá hạt nhân cho phép bạn ẩn các quy trình nhất định khỏi các tiện ích khu vực người dùng. Nói cách khác, nó là một sự sửa đổi mã nguồn hạt nhân với mục đích là các tiện ích cho phép chúng ta xem những gì đang chạy tại bất kỳ thời điểm nào không hiển thị một quy trình nhất định hoặc một người dùng nhất định.

Trojan cũng tương tự: nó là sự sửa đổi mã nguồn của một dịch vụ cụ thể để che giấu hoạt động gian lận nhất định. Trong cả hai trường hợp, cần phải lấy mã nguồn của phiên bản chính xác được cài đặt trên máy Linux, vá mã, biên dịch lại, lấy đặc quyền của quản trị viên, cài đặt tệp thực thi đã vá và khởi tạo dịch vụ –trong trường hợp của Trojan– hoặc hệ điều hành. hoàn chỉnh - trong trường hợp
rootkit–. Như chúng ta thấy, quá trình này không hề tầm thường, và không ai có thể làm được tất cả những điều này "do nhầm lẫn". Cả hai đều yêu cầu trong quá trình cài đặt của mình rằng ai đó có đặc quyền của quản trị viên, một cách có ý thức, thực hiện một loạt các bước đưa ra quyết định có tính chất kỹ thuật.

Đó không phải là một sắc thái ngữ nghĩa không quan trọng: đối với một vi-rút tự cài đặt, chỉ cần một người dùng bình thường là chúng ta có thể chạy một chương trình bị nhiễm. Mặt khác, đối với việc cài đặt rootkit hoặc Trojan, điều cần thiết là một kẻ độc hại phải đích thân vào tài khoản root của máy và thực hiện một loạt các bước có khả năng bị phát hiện theo cách không tự động. virus lây lan nhanh chóng và hiệu quả; rootkit hoặc trojan cần chúng nhắm mục tiêu cụ thể vào chúng ta.

Sự lây truyền vi rút trong Linux:

Do đó, cơ chế lây truyền của virus là những gì thực sự xác định nó như vậy, và là cơ sở cho sự tồn tại của chúng. một hệ điều hành càng nhạy cảm với vi rút càng dễ phát triển một cơ chế truyền tự động và hiệu quả.

Giả sử chúng ta có một loại virus muốn tự lây lan. Giả sử nó đã được khởi chạy bởi một người dùng bình thường, một cách ngây thơ, khi khởi chạy một chương trình. Virus này có hai cơ chế lây truyền:

• Nhân bản chính nó bằng cách chạm vào bộ nhớ của các quy trình khác, neo chính nó vào chúng trong thời gian chạy.
• Mở tệp thực thi của hệ thống tệp và thêm mã –payload– của chúng vào tệp thực thi.

Tất cả các loại virus mà chúng ta có thể coi là có ít nhất một trong hai cơ chế lây truyền này. O Hai. Không còn cơ chế nào nữa.
Về cơ chế đầu tiên, chúng ta hãy nhớ kiến ​​trúc bộ nhớ ảo của Linux và cách hoạt động của bộ xử lý intel. Chúng có bốn vòng, được đánh số từ 0 đến 3; Số càng thấp thì mã chạy trong vòng đó càng có nhiều đặc quyền. Các vòng này tương ứng với các trạng thái của bộ xử lý, và do đó, với những gì có thể được thực hiện với một hệ thống nằm trong một vòng cụ thể. Linux sử dụng vòng 0 cho hạt nhân và vòng 3 cho các quy trình. không có mã tiến trình nào chạy trên vòng 0 và không có mã nhân nào chạy trên vòng 3. Chỉ có một điểm vào hạt nhân duy nhất từ ​​vòng 3: ngắt 80h, cho phép nhảy từ khu vực mà nó mã người dùng đến khu vực chứa mã nhân.

Kiến trúc của Unix nói chung và Linux nói riêng không làm cho việc lây lan virus trở nên khả thi.

Kernel bằng cách sử dụng bộ nhớ ảo làm cho mỗi tiến trình tin rằng nó có tất cả bộ nhớ cho chính nó. Một tiến trình –mà hoạt động trong vòng 3– chỉ có thể thấy bộ nhớ ảo đã được cấu hình cho nó, cho vòng mà nó hoạt động. Nó không phải là bộ nhớ của các quá trình khác được bảo vệ; là đối với một quá trình, bộ nhớ của các quá trình khác nằm ngoài vùng địa chỉ. Nếu một tiến trình đánh bại tất cả các địa chỉ bộ nhớ, thì nó thậm chí sẽ không thể tham chiếu đến địa chỉ bộ nhớ của một tiến trình khác.

Tại sao điều này không thể bị lừa?
Để sửa đổi những gì đã được nhận xét –ví dụ, tạo các điểm nhập trong vòng 0, sửa đổi vectơ ngắt, sửa đổi bộ nhớ ảo, sửa đổi LGDT… - chỉ có thể thực hiện được từ vòng 0.
Nghĩa là, để một tiến trình có thể chạm vào bộ nhớ của các tiến trình khác hoặc hạt nhân, thì chính nó phải là hạt nhân. Và thực tế là có một điểm vào duy nhất và các tham số được chuyển qua các thanh ghi làm phức tạp thêm cái bẫy - trên thực tế, nó được chuyển qua thanh ghi cho đến khi phải làm gì, sau đó được thực hiện như một trường hợp trong thói quen chú ý. 80h gián đoạn.
Một kịch bản khác là trường hợp hệ điều hành có hàng trăm cuộc gọi không có giấy tờ đến đổ chuông 0, khi điều này có thể xảy ra - luôn có thể có một cuộc gọi bị lãng quên được triển khai kém mà trên đó có thể phát triển một cái bẫy - nhưng trong trường hợp hệ điều hành có cơ chế bước đơn giản, nó không phải là.

Vì lý do này, kiến ​​trúc bộ nhớ ảo ngăn cản cơ chế truyền này; không có quy trình nào - ngay cả những người có đặc quyền root - cũng không có cách nào để truy cập bộ nhớ của người khác. Chúng ta có thể tranh luận rằng một tiến trình có thể nhìn thấy hạt nhân; nó đã ánh xạ nó từ địa chỉ bộ nhớ logic 0xC0000000. Tuy nhiên, do vòng xử lý nó chạy, bạn không thể sửa đổi nó; sẽ tạo ra một cái bẫy, vì chúng là những vùng bộ nhớ thuộc về một vòng khác.

"Giải pháp" sẽ là một chương trình sửa đổi mã hạt nhân khi nó là một tệp. Nhưng thực tế là những điều này được biên dịch lại khiến nó không thể thực hiện được. Hệ nhị phân không thể được vá, vì có hàng triệu hạt nhân nhị phân khác nhau trên thế giới. Đơn giản là khi biên dịch lại nó, họ đã đặt hoặc xóa một thứ gì đó khỏi tệp thực thi của nhân hoặc họ đã thay đổi kích thước của một trong các nhãn xác định phiên bản biên dịch - điều gì đó được thực hiện thậm chí không tự nguyện - không thể áp dụng bản vá nhị phân. Giải pháp thay thế sẽ là tải mã nguồn từ Internet, vá nó, cấu hình nó cho phần cứng thích hợp, biên dịch, cài đặt và khởi động lại máy. Tất cả điều này sẽ được thực hiện bởi một chương trình, tự động. Khá là thách thức đối với lĩnh vực Trí tuệ nhân tạo.
Như chúng ta có thể thấy, thậm chí không một virus nào là root có thể vượt qua rào cản này. Giải pháp duy nhất còn lại là truyền giữa các tệp thực thi. Cái nào cũng không hoạt động như chúng ta sẽ thấy bên dưới.

Kinh nghiệm của tôi với tư cách là quản trị viên:

Trong hơn mười năm tôi đã quản lý Linux, với việc cài đặt trên hàng trăm máy ở các trung tâm dữ liệu, phòng thí nghiệm sinh viên, công ty, v.v.

• Tôi chưa bao giờ bị nhiễm vi rút
• Tôi chưa bao giờ gặp một người có
• Tôi chưa từng gặp ai đó đã từng gặp ai đó đã từng xảy ra với anh ấy

Tôi biết nhiều người từng nhìn thấy Quái vật hồ Loch Ness hơn là từng thấy vi-rút Linux.
Cá nhân tôi thừa nhận rằng tôi đã liều lĩnh và tôi đã khởi chạy một số chương trình mà các "chuyên gia" tự xưng là "vi-rút cho Linux" - từ bây giờ, tôi sẽ gọi chúng là vi-rút, không phải để làm cho văn bản trở nên phức tạp-, từ tài khoản thông thường của tôi chống lại máy của tôi, để xem liệu có khả năng xảy ra vi-rút hay không: cả vi-rút bash lưu hành xung quanh đó - và nhân tiện, không lây nhiễm bất kỳ tệp nào - và vi-rút đã trở nên rất nổi tiếng và xuất hiện trên báo chí . Tôi đã cố gắng cài đặt nó; và sau hai mươi phút làm việc, tôi đã bỏ cuộc khi thấy một trong những yêu cầu của anh ta là có thư mục tmp trên một phân vùng kiểu MSDOS. Cá nhân tôi không biết bất kỳ ai tạo một phân vùng cụ thể cho tmp và định dạng nó thành FAT.
Trên thực tế, một số cái gọi là virus mà tôi đã kiểm tra cho Linux yêu cầu trình độ hiểu biết cao và mật khẩu gốc để được cài đặt. Ít nhất thì chúng tôi cũng có thể đủ điều kiện là "crappy" một loại virus nếu nó cần sự can thiệp tích cực của chúng tôi để lây nhiễm vào máy. Hơn nữa, trong một số trường hợp, chúng yêu cầu kiến ​​thức sâu rộng về UNIX và mật khẩu gốc; khác xa so với cài đặt tự động mà nó được cho là.

Lây nhiễm các tệp thực thi trên Linux:

Trên Linux, một quy trình có thể đơn giản làm những gì người dùng hiệu quả và nhóm hiệu quả của nó cho phép. Đúng là có những cơ chế để trao đổi người dùng thực với tiền mặt, nhưng có rất ít cơ chế khác. Nếu chúng ta nhìn vào vị trí của các tệp thực thi, chúng ta sẽ thấy rằng chỉ có root mới có quyền ghi cả trong các thư mục này và trong các tệp được chứa. Nói cách khác, chỉ root mới có thể sửa đổi các tệp như vậy. Đây là trường hợp của Unix từ những năm 70, trong Linux kể từ khi nó khởi đầu và trong một hệ thống tệp hỗ trợ các đặc quyền, chưa có lỗi nào xuất hiện cho phép hành vi khác. Cấu trúc của tệp thực thi ELF đã được biết đến và được ghi lại đầy đủ, vì vậy về mặt kỹ thuật, tệp thuộc loại này có thể tải trọng tải trong tệp ELF khác ... miễn là người dùng hiệu quả của nhóm đầu tiên hoặc nhóm hiệu quả của đầu tiên có đặc quyền truy cập. đọc, ghi và thực thi trên tệp thứ hai. Nó có thể lây nhiễm bao nhiêu tệp thi hành hệ thống tệp với tư cách là một người dùng thông thường?
Câu hỏi này có một câu trả lời đơn giản, nếu chúng ta muốn biết chúng ta có thể "lây nhiễm" bao nhiêu tệp, chúng ta khởi chạy lệnh:

$ find / -type f -perm -o=rwx -o \( -perm -g=rwx -group `id -g` \) -o \( -perm -u=rwx -user `id -u` \) -print 2> /dev/null | grep -v /proc

Chúng tôi loại trừ thư mục / proc vì nó là một hệ thống tệp ảo hiển thị thông tin về cách hoạt động của hệ điều hành. Các tệp thuộc loại tệp và với các đặc quyền thực thi mà chúng tôi sẽ tìm thấy không gây ra vấn đề gì, vì chúng thường là các liên kết ảo có vẻ như được đọc, ghi và thực thi và nếu người dùng thử nó, nó sẽ không bao giờ hoạt động. Chúng tôi cũng loại bỏ các lỗi, rất nhiều - vì, đặc biệt là trong / proc và / home, có nhiều thư mục mà người dùng thông thường không thể vào -. Tập lệnh này mất nhiều thời gian. Trong trường hợp cụ thể của chúng tôi, trên một máy có bốn người làm việc, câu trả lời là:

/tmp/.ICE-unix/dcop52651205225188
/tmp/.ICE-unix/5279
/home/irbis/kradview-1.2/src
/kradview

Kết quả hiển thị ba tệp có thể bị nhiễm nếu một loại vi-rút giả định được chạy. Hai tệp đầu tiên là các tệp loại ổ cắm Unix bị xóa khi khởi động –và không thể bị ảnh hưởng bởi vi-rút– và tệp thứ ba là tệp của một chương trình đang được phát triển, sẽ bị xóa mỗi khi nó được biên dịch lại. Theo quan điểm thực tế, virus sẽ không lây lan.
Từ những gì chúng ta thấy, cách duy nhất để phát tán tải trọng là root. Trong trường hợp này, để vi-rút hoạt động, người dùng phải luôn có đặc quyền của quản trị viên. Trong trường hợp đó, nó có thể lây nhiễm các tập tin. Nhưng đây là điểm bắt buộc: để lây lan sự lây nhiễm, bạn cần phải lấy một tệp thực thi khác, gửi tệp đó cho một người dùng khác chỉ sử dụng máy làm root và lặp lại quá trình này.
Trong các hệ điều hành cần phải là quản trị viên cho các tác vụ thông thường hoặc chạy nhiều ứng dụng hàng ngày, điều này có thể xảy ra. Nhưng trong Unix, cần phải là quản trị viên để cấu hình máy và sửa đổi các tệp cấu hình, vì vậy số lượng người dùng mà tài khoản root sử dụng như một tài khoản hàng ngày là ít. Nó tốt hơn rồi; một số bản phân phối Linux thậm chí không kích hoạt tài khoản gốc. Trong hầu hết tất cả chúng, nếu bạn truy cập vào môi trường đồ họa như vậy, nền sẽ chuyển sang màu đỏ đậm và các thông báo liên tục được lặp lại nhắc nhở rằng không nên sử dụng tài khoản này.
Cuối cùng, mọi thứ phải được thực hiện dưới dạng root có thể được thực hiện bằng lệnh sudo mà không có rủi ro.
Vì lý do này, trong Linux một tệp thực thi không thể lây nhiễm cho người khác miễn là chúng ta không sử dụng tài khoản gốc làm tài khoản sử dụng chung; Và mặc dù các công ty chống vi-rút khăng khăng nói rằng có vi-rút cho Linux, thực sự thứ gần nhất có thể tạo ra trong Linux là một Trojan trong khu vực người dùng. Cách duy nhất mà những Trojan này có thể ảnh hưởng đến thứ gì đó trên hệ thống là chạy nó dưới dạng root và với các đặc quyền cần thiết. Nếu chúng ta thường sử dụng máy với tư cách người dùng bình thường, thì quá trình do một người dùng thông thường khởi chạy sẽ không thể lây nhiễm vào hệ thống.

Lầm tưởng và dối trá:

Chúng tôi tìm thấy rất nhiều huyền thoại, trò lừa bịp và những lời nói dối đơn giản về virus trong Linux. Hãy lập danh sách chúng dựa trên một cuộc thảo luận diễn ra cách đây một thời gian với đại diện của một nhà sản xuất phần mềm chống vi-rút cho Linux, người đã rất xúc phạm bởi một bài báo đăng trên cùng tạp chí này.
Cuộc thảo luận đó là một ví dụ tham khảo tốt, vì nó đề cập đến tất cả các khía cạnh của virus trong Linux. Chúng tôi sẽ lần lượt xem xét tất cả những lầm tưởng này khi chúng được thảo luận trong cuộc thảo luận cụ thể đó, nhưng đã được lặp lại rất nhiều lần trong các diễn đàn khác.

Lầm tưởng 1:
"Không phải tất cả các chương trình độc hại, đặc biệt là vi rút, cần có đặc quyền root để lây nhiễm, đặc biệt trong trường hợp cụ thể là vi rút thực thi (định dạng ELF) lây nhiễm các tệp thực thi khác".

Trả lời:
Bất cứ ai đưa ra yêu cầu như vậy không biết hệ thống đặc quyền Unix hoạt động như thế nào. Để ảnh hưởng đến một tệp, vi-rút cần có đặc quyền đọc – nó phải được đọc để sửa đổi nó– và ghi – nó phải được viết để sửa đổi có hiệu lực– trên tệp thực thi mà nó muốn thực thi.
Điều này luôn luôn xảy ra, không có ngoại lệ. Và trong mỗi và mọi bản phân phối, người dùng không phải root không có những đặc quyền này. Thì đơn giản với việc không root được thì việc lây nhiễm là không thể. Kiểm tra theo kinh nghiệm: Trong phần trước, chúng ta đã thấy một tập lệnh đơn giản để kiểm tra phạm vi tệp có thể bị ảnh hưởng bởi nhiễm trùng. Nếu chúng tôi khởi chạy nó trên máy của mình, chúng tôi sẽ thấy nó không đáng kể như thế nào và đối với các tệp hệ thống, rỗng. Ngoài ra, không giống như các hệ điều hành như Windows, bạn không cần đặc quyền của quản trị viên để thực hiện các tác vụ thông thường với các chương trình thường được người dùng bình thường sử dụng.

Lầm tưởng 2:
"Họ cũng không cần phải root để xâm nhập hệ thống từ xa, trong trường hợp Slapper, một loại sâu khai thác lỗ hổng trong SSL của Apache (chứng chỉ cho phép giao tiếp an toàn), đã tạo ra mạng máy zombie của riêng mình vào tháng 2002 năm XNUMX".

Trả lời:
Ví dụ này không đề cập đến vi rút mà là sâu. Sự khác biệt rất quan trọng: sâu là một chương trình khai thác một dịch vụ để Internet tự truyền tải. Nó không ảnh hưởng đến các chương trình địa phương. Do đó, nó chỉ ảnh hưởng đến các máy chủ; không phải máy cụ thể.
Giun luôn rất ít và tỷ lệ mắc bệnh không đáng kể. Ba người thực sự quan trọng đều ra đời vào những năm 80, thời điểm mà Internet còn ngây thơ, mọi người đều tin tưởng mọi người. Hãy nhớ rằng chúng là những thứ đã ảnh hưởng đến sendmail, fingerd và rexec. Ngày nay mọi thứ phức tạp hơn. Mặc dù chúng ta không thể phủ nhận rằng chúng vẫn tồn tại và nếu không được kiểm soát thì chúng vô cùng nguy hiểm. Nhưng hiện nay, thời gian phản ứng với giun rất ngắn. Đây là trường hợp của Slapper: một loại sâu được tạo ra trên một lỗ hổng được phát hiện - và được vá - hai tháng trước khi xuất hiện chính nó.
Ngay cả khi giả sử rằng tất cả mọi người sử dụng Linux đều đã cài đặt và chạy Apache, chỉ cần cập nhật các gói hàng tháng là quá đủ để không bao giờ gặp bất kỳ rủi ro nào.
Đúng là lỗi SSL mà Slapper gây ra rất nghiêm trọng - trên thực tế là lỗi lớn nhất được tìm thấy trong toàn bộ lịch sử của SSL2 và SSL3 - và do đó nó đã được sửa trong vài giờ. Hai tháng sau khi vấn đề này được tìm thấy và giải quyết, một người nào đó đã tạo ra một con sâu trên một lỗi đã được sửa chữa và rằng đây là ví dụ mạnh mẽ nhất có thể được coi là một lỗ hổng, ít nhất là điều đó làm yên lòng.
Theo nguyên tắc chung, giải pháp cho sâu là không mua phần mềm chống vi-rút, cài đặt nó và lãng phí thời gian tính toán để giữ cho nó hoạt động. Giải pháp là sử dụng hệ thống cập nhật bảo mật của bản phân phối của chúng tôi: có bản phân phối được cập nhật, sẽ không có vấn đề gì. Chỉ chạy các dịch vụ chúng tôi cần cũng là một ý tưởng hay vì hai lý do: chúng tôi cải thiện việc sử dụng tài nguyên và chúng tôi tránh các vấn đề về bảo mật.

Lầm tưởng 3:
"Tôi không nghĩ rằng cốt lõi là bất khả xâm phạm. Trên thực tế, có một nhóm các chương trình độc hại được gọi là LRK (Linux Rootkits Kernel), chính xác dựa trên việc khai thác các lỗ hổng trong mô-đun hạt nhân và thay thế các tệp nhị phân của hệ thống.".

Trả lời:
Rootkit về cơ bản là một bản vá hạt nhân cho phép bạn ẩn sự tồn tại của một số người dùng và quy trình nhất định khỏi các công cụ thông thường, nhờ vào thực tế là chúng sẽ không xuất hiện trong thư mục / proc. Điều bình thường là họ sử dụng nó vào cuối một cuộc tấn công, ngay từ đầu, họ sẽ khai thác lỗ hổng từ xa để truy cập vào máy của chúng tôi. Sau đó, họ sẽ thực hiện một chuỗi các cuộc tấn công, để nâng cao đặc quyền cho đến khi họ có tài khoản gốc. Vấn đề khi họ nhận được nó là làm thế nào để cài đặt một dịch vụ trên máy của chúng tôi mà không bị phát hiện: đó là nơi có bộ rootkit. Một người dùng được tạo sẽ là người dùng hiệu quả của dịch vụ mà chúng tôi muốn ẩn, họ cài đặt rootkit và ẩn cả người dùng đã nói và tất cả các quy trình thuộc về người dùng đó.
Làm thế nào để che giấu sự tồn tại của một người dùng là hữu ích đối với vi-rút là điều mà chúng ta có thể thảo luận từ lâu, nhưng vi-rút sử dụng bộ rootkit để tự cài đặt có vẻ thú vị. Hãy tưởng tượng cơ chế hoạt động của virus (ở dạng mã giả):
1) Vi rút xâm nhập vào hệ thống.
2) Định vị mã nguồn hạt nhân. Nếu không, anh ta tự cài đặt nó.
3) Định cấu hình hạt nhân cho các tùy chọn phần cứng áp dụng cho máy được đề cập.
4) Biên dịch hạt nhân.
5) Cài đặt hạt nhân mới; sửa đổi LILO hoặc GRUB nếu cần.
6) Khởi động lại máy.

Các bước (5) và (6) yêu cầu quyền root. Hơi phức tạp là các bước (4) và (6) không được phát hiện bởi người bị nhiễm. Nhưng điều buồn cười là có một người tin rằng có một chương trình có thể thực hiện bước (2) và (3) một cách tự động.
Đỉnh điểm là, nếu chúng ta gặp ai đó nói với chúng ta rằng "khi có nhiều máy Linux thì sẽ có nhiều virus hơn", và khuyến nghị "cài đặt phần mềm chống vi-rút và cập nhật liên tục", có thể nó liên quan đến công ty tiếp thị chương trình chống vi-rút và cập nhật. . Hãy cảnh giác, có thể là cùng một chủ sở hữu.

Chống vi-rút cho Linux:

Đúng là có phần mềm diệt virus tốt cho Linux. Vấn đề là, họ không làm những gì mà những người ủng hộ chống vi-rút tranh luận. Chức năng của nó là lọc thư chuyển từ phần mềm độc hại và vi rút sang Windows, cũng như xác minh sự tồn tại của vi rút Windows trong các thư mục được xuất qua SAMBA; vì vậy nếu chúng tôi sử dụng máy của mình làm cổng thư hoặc làm NAS cho máy Windows, chúng tôi có thể bảo vệ chúng.

Ngao-AV:

Chúng tôi sẽ không hoàn thành báo cáo của mình mà không nói về phần mềm chống vi-rút chính cho GNU / Linux: ClamAV.
ClamAV là một phần mềm chống vi-rút GPL rất mạnh, có thể biên dịch cho hầu hết các Unix hiện có trên thị trường. Nó được thiết kế để phân tích các tệp đính kèm cho các thư đi qua trạm và lọc chúng để tìm vi rút.
Ứng dụng này tích hợp hoàn hảo với sendmail để cho phép lọc các loại virus có thể được lưu trữ trong các máy chủ Linux cung cấp mail cho các công ty; có cơ sở dữ liệu virus được cập nhật hàng ngày, hỗ trợ kỹ thuật số. Cơ sở dữ liệu được cập nhật nhiều lần trong ngày, và đó là một dự án sống động và rất thú vị.
Chương trình mạnh mẽ này có khả năng phân tích vi rút ngay cả trong các tệp đính kèm ở các định dạng phức tạp hơn để mở, chẳng hạn như RAR (2.0), Zip, Gzip, Bzip2, Tar, MS OLE2, tệp MS Cabinet, MS CHM (HTML COprinted) và MS SZDD.
ClamAV cũng hỗ trợ các tệp thư mbox, Maildir và RAW cũng như các tệp Portable Executable được nén bằng UPX, FSG và Petite. Clam AV và cặp spamassassin là cặp đôi hoàn hảo để bảo vệ máy khách Windows của chúng tôi khỏi máy chủ thư Unix.

KẾT LUẬN

Đối với câu hỏi Có lỗ hổng trong hệ thống Linux không? câu trả lời chắc chắn là có.
Không ai trong tâm trí của họ nghi ngờ điều đó; Linux không phải là OpenBSD. Một điều nữa là cửa sổ lỗ hổng bảo mật mà hệ thống Linux có được cập nhật đúng cách. Nếu chúng ta tự hỏi mình, có công cụ nào để lợi dụng những lỗ hổng bảo mật này và khai thác chúng không? Vâng, vâng, nhưng đây không phải là virus, chúng là những kẻ lợi dụng.

Virus phải vượt qua một số khó khăn nữa mà những người bảo vệ Windows luôn coi là một lỗ hổng / vấn đề của Linux, và điều đó làm phức tạp thêm sự tồn tại của virus thực - các hạt nhân được biên dịch lại, nhiều phiên bản của nhiều ứng dụng, nhiều bản phân phối, những thứ mà chúng không tự động được chuyển một cách minh bạch cho người dùng, v.v.–. Các "vi-rút" theo lý thuyết hiện tại phải được cài đặt thủ công từ tài khoản gốc. Nhưng đó không thể coi là một loại virus.
Như tôi luôn nói với học sinh của mình: làm ơn đừng tin tôi. Tải xuống và cài đặt rootkit trên máy. Và nếu bạn muốn nhiều hơn nữa, hãy đọc mã nguồn của các loại "virus" trên thị trường. Sự thật là trong mã nguồn. Rất khó để một loại virus "tự xưng" có thể đặt tên như vậy sau khi đọc mã của nó. Và nếu bạn không biết cách đọc mã, một biện pháp bảo mật đơn giản duy nhất mà tôi khuyên dùng: chỉ sử dụng tài khoản gốc để quản lý máy và cập nhật các bản cập nhật bảo mật.
Chỉ có như vậy thì vi rút mới có thể xâm nhập vào bạn và rất khó xảy ra trường hợp sâu hoặc ai đó tấn công máy của bạn thành công.