Newsgroup: it.comp.sicurezza.varie
Titolo: MacOSX e Linux: arrivano i trojan

 
No, ok... esistevano già, ma stando a quanto riportato da "Bleeping
Computers", quest'ultima bestia sembra piuttosto bastarda
 
"New SpeakUp Backdoor Infects Linux and macOS with Miners"
 
https://www.bleepingcomputer.com/news/security/new-speakup-backdoor-infects-linux-and-macos-with-miners/
 
 
il trojan, non solo sfrutta una serie di vulnerabilità ancora piuttosto
diffuse, ma trasforma il sistema in un bot ed inoltre cerca di
infettare altre macchine presenti sulla stessa rete della vittima; in
breve, una bestiolina abbastanza 'starda :P
 
Tutto sommato, la previsione relativa al fatto che, quando le
piattaforme Linux/Mac fossero state sufficientemente diffuse da
diventare un bersaglio interessante per il malware si sta rivelando
sempre più corretta
 
 

 sempre più corretta
 
Non che ci volesse Nostradamus per prevederlo. L'uomo è imperfetto e, 
in quanto tale, ogni sistema da lui creato è imperfetto a sua volta. 
Linux e MacOS non fanno eccezione, con buona pace dei fan. La 
vulnerabilità di un sistema è proporzionale alla diffusione

 sempre più corretta
 
Già...
 
Bye, G.


Se ho capito bene, la vulnerabilità di partenza è dentro ThinkPHP e quindi non 
dipende dal sistema operativo in sé.
Ho letto anche il report di Checkpoint, ma non è spiegato in che modo 
infetterebbe specificatamente macOS. A meno che si tratti semplicemente di Mac 
usati come server col componente ThinkPHP e allora torniamo al punto di partenza.
Hai informazioni più precise?
 
Il fatto che l'infezione al momento sia presente in Sud America e sud-est 
asiatico mi fa pensare che siano macchine poco sorvegliate e non aggiornate.
 
ciao
Gabriele

 Già...
 
:(
 

 sempre più corretta
 
Solo qualche povero illuso poteva credere che non potesse succedere. Di 
certo al giorno d'oggi sulle macchine da cazzeggio personale forse non 
serve ancora, ma su server e macchine in produzione e attaccate alla 
rete 24/24 un antivirus è diventato indispensabile anche su Linux, OS-X 
e Android.
 
 
 
-- 
Ciao, Guglielmo.

 Solo qualche povero illuso poteva credere che non potesse succedere. 
 
ho letto l'articolo. c'è una libreria php bucata (ma vah?) che a quanto 
pare è stata attaccata. chi sarebbe l'illuso che pensa queste cose non 
possano accadere? soprattutto da che pianeta proviene?


Più che un antivirus qui serviva un firewall, sorvegliare le connessioni e 
tenere aggiornato il sistema.
 
 

 
 
Considerato che qualche vulnerabilità da qualche parte c'è, l'antivirus non 
serve a prevenirla ma, eventualmente ci riesce, a eliminare il codice 
nocivo introdotto con la vulnerabilità. E ti segnala che quacosa che non va 
c'è.
 
 
 
-- 
Ciao, Guglielmo.

 Linux, OS-X e Android.
 
Più che altro, in quei casi serve un NIDS/NIPS ed eventualmente un
sistema tipo "tripwire" che permetta di proteggere/controllare i vari
sistemi indipendentemente dagli stessi; ad esempio, se un certo server
o comunque host si mettesse improvvisamente a generare traffico
anomalo, questo, indipendentemente da eventuali "antimalware", che
potrebbero anche venire disattivati dal malware, permetterebbe di
capire che quel sistema ha "qualcosa che non va" e procedere con le
necessarie contromisure
 

 cose non possano accadere? soprattutto da che pianeta proviene?
 
Il buco in PHP è solo una delle vulnerabilità sfruttate dal malware, ne
esistono altre (e non solo per PHP); il punto è che, mentre in passato
il target primario erano i sistemi Windows, ad oggi, la più ampia
diffusione dei sistemi Linux/Unix, li ha resi un bersaglio appetibile;
d'altronde, come ho scritto, era solo questione di tempo e di rapporto
"costi"/benefici.
 
Tra l'altro il fatto che, almeno per il momento, il target siano
sistemi situati in centro/sud america ed asia, potrebbe semplicemente
indicare che, chi ha sviluppato il malware stia semplicemente testando
lo stesso su macchine meno protette, ma non significa che il malware
non possa evolversi e creare problemi ad un maggior numero di sistemi
 
 
 
 

 diffusione dei sistemi Linux/Unix, li ha resi un bersaglio appetibile;
 
continuo a non seguirti. parlassimo di desktop e relativi virus se ne 
potrebbe ragionare, ma il target di cui si parla non è quello. i server 
linux e in particolare quelli esposti su internet non è certo da oggi che 
vengono attaccati e, se presenti vulnerabilità, anche pettinati ben bene. 


ThinkPHP non è una libreria, ma un framework PHP cinese [1], a quanto 
pare anche relativamente popolare (1500 star su github), da qui la 
diffusione sui server cinesi. Quella che non capisco è la diffusione del 
Trojan in Sudamerica, dato che il framework in questione è documentato in 
cinese :/ 
 
Probabilmente ci sono stati altri vettori di infezione, non documentati 
nell'articolo. E comunque se ho capito bene l'infezione avviene tramite 
la classica shell php, dalla quale viene lanciato uno scrip perl che 
comincia a fare danni. Un server di produzione (o comunque esposto al 
mondo esterno) configurato correttamente non permette ad un processo PHP 
di lanciare comandi arbitrari, basta una semplice riga di config nel 
php.ini:
 
disable_functions = 
passthru,shell_exec,system,proc_close,proc_get_status,proc_nice,proc_open,proc_terminate
 
 
Avessero trovato una vulnerabilità simile su Laravel [1] avremmo mezzi 
server del mondo a minare criptovalute, ma fortunatamente sono prodotti 
che si posizionano sul mercato su due livelli diversi, seppur entrambi 
grauiti. Una remote file inclusion nel 2019 non è accettabile in un 
software usato in produzione, per cui chi è infetto se l'è cercata.
 
Detto questo, una volta in funzione il Trojan cerca di infettare altre 
macchine sulla LAN sfruttando altre vulnerabilità note [2], tra cui varie 
vulnerabilità che esulano dal PHP (Jboss, Oracle WebLogic, Apache 
ActiveMQ)
 
*Conclusioni*
 
Lasciamo perdere il vecchio cliché della libreria PHP vulnerabile, qui ci 
sono svariate concause: sistemisti che commettono errori  grossolani, 
progettisti software che usano prodotti non production-ready, 
programmatori che commettono errori triti e ritriti. Nel caso in 
questione infatti abbiamo:
 
* Framework con grossi problemi  di sicurezza esposto al mondo 
* Server web con configurazioni di default abbandonati a se stessi
* Software molto vecchio mai aggiornato, tanto è in LAN (vedi per es. 
CVE-2010-1871)
 
my 2 cent
g4b0
 
[1] 
https://github.com/top-think
 
[2] 
* CVE-2012-0874: JBoss Enterprise Application Platform Multiple Security 
Bypass Vulnerabilities.
* CVE-2010-1871: JBoss Seam Framework remote code execution
JBoss AS 3/4/5/6: Remote Command Execution
* CVE-2017-10271: Oracle WebLogic wls-wsat Component Deserialization RCE
* CVE-2018-2894: Vulnerability in the Oracle WebLogic Server component of 
Oracle Fusion Middleware. Hadoop YARN ResourceManager - Command Execution
* CVE-2016-3088: Apache ActiveMQ Fileserver File Upload Remote Code 
Execution Vulnerability.