Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
 

Busque su tema:

VSantivirus  Internet
Proporcionado por FreeFind

Video Soft BBS
Menú Principal
Anti Trojans
Antivirus
Hoaxes
Subscripciones
Otro software
Artículos
Links
Sugerencias
Sobre el BBS
Direcciones
Galería
Chat

       

Lupper.B. Infecta servidores bajo Linux, usa PHP, etc.
 
VSantivirus No. 1951 Año 9, jueves 10 de noviembre de 2005

Lupper.B. Infecta servidores bajo Linux, usa PHP, etc.
http://www.vsantivirus.com/lupper-b.htm

Nombre: Lupper.B
Nombre NOD32: Linux/Lupper.B
Tipo: Gusano de Internet (Linux)
Alias: Lupper.B, ELF_LUPPER.B, Exploit.Linux.Lupii, Exploit.Linux.Small.x, Linux.Lupii, Linux.Plupii, Linux/Lupper.A, Linux/Lupper.B, Linux/Lupper.worm, Linux/Lupper.worm.b, Linux/Lupper.X-exploit, Linux/Lupper-A, linux-lupper, Net-Worm.Linux.Lupper.b, Unix/Lupii.A
Fecha: 9/nov/05
Plataforma: Unix (Linux)
Tamaño: varios

Gusano que se propaga utilizando varias vulnerabilidades en servidores de Internet bajo Linux.

Cuando se ejecuta, abre una puerta trasera en el puerto UDP 27015, y envía un mensaje de notificación a una dirección IP remota.

Genera tráfico de salida a los puertos UDP 25555 y TCP 80.

También crea enlaces que incluyen las siguientes cadenas:

/blog/xmlrpc.php
/blog/xmlsrv/xmlrpc.php
/blogs/xmlsrv/xmlrpc.php
/cgi-bin/
/cgi-bin/awstats/
/drupal/xmlrpc.php
/phpgroupware/xmlrpc.php
/wordpress/xmlrpc.php
/xmlrpc/xmlrpc.php

El gusano envía solicitudes HTTP a los enlaces antes generados (paquetes SYN a TCP 80), para intentar propagarse utilizando conocidas vulnerabilidades en servidores bajo Linux.

Una de las vulnerabilidades empleadas por el gusano, fue hecha publica recientemente, y está relacionada con la posibilidad de inyectar código en páginas PHP en un entorno XML-RPC, lo que permite la ejecución de código en el contexto del servidor Web.

PHP, acrónimo de "PHP: Hypertext Preprocessor", es un lenguaje interpretado de alto nivel, y de código abierto, que se ejecuta en el servidor, y puede estar embebido en páginas HTML. Permite desarrollar páginas web dinámicas de una manera rápida y fácil.

El protocolo XML-RPC es la implementación estandarizada de un lenguaje basado en XML, utilizado en muchos servicios Web.

Otras vulnerabilidades explotadas por este gusano están relacionadas con las utilidades AWStats (Advanced Web Statistics, una herramienta que genera estadísticas gráficas para sitios web), y Webhints (permite agregar citas diarias, etc.).

El gusano intenta descargar desde una determinada página web, una copia de si mismo en los sitios a los que apuntan los enlaces.

También puede crear los siguientes archivos:

/tmp/listen
/tmp/listen.log
/tmp/update.listen


Limpieza del sistema

NOTA: Un sistema afectado por este gusano, debería ser totalmente reinstalado, y los datos restaurados desde respaldos limpios, ya que al abrirse una puerta trasera en el servidor, que permite el acceso remoto a intrusos, jamás se podrá saber el grado de compromiso al sistema que se pueda haber alcanzado.







(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com

 

Copyright 1996-2005 Video Soft BBS