Компания "Доктор Веб" опубликовала (http://news.drweb.ru/show/?i=9709&c=5&lng=ru&p=0) данные об ещё одом вредоносном ПО Linux.Encoder.2 (http://vms.drweb.ru/virus/?i=7734389), шифрующем файлы на серверах для вымогательства денег за расшифровку. От первого (https://www.opennet.me/opennews/art.shtml?num=43277) вредоносного приложения такого рода Linux.Encoder.2 отличается использованием  библиотеки OpenSSL вместо PolarSSL и применением иного метода шифрования файлов (вместо AES-CBC-128 применяется AES-OFB-128 со сменой параметров шифра для каждых 128 байт).

Примечательно, что как и первое шифрующее вредоносное ПО для Linux, новый экземпляр также изменяет время модификации файла, т.е. подвержен той же уязвимости (https://www.opennet.me/opennews/art.shtml?num=43299), что даёт возможность восстановить вектор инициализации AES и определить ключ шифрования. Компания  "Доктор Веб" сообщила о создании расшифровщика, но пока распространяет его только в составе платной версии своего антивируса. Ожидается, что в ближайшее время компания Bitdefender Lab адаптирует (http://labs.bitdefender.com/blog/)  для Linux.Encoder.2 свой общедоступный распаковщик, распространяемый в исходных текстах под лицензией GPLv3.

URL: http://news.drweb.ru/show/?i=9709&c=5&lng=ru&p=0
Новость: http://www.opennet.me/opennews/art.shtml?num=43359

• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,аноним2, 23:19 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,РОСА, 11:56 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,pkdr, 13:10 , 20-Ноя-15
      • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,i_stas, 02:26 , 21-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,th3m3, 23:29 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,rshadow, 02:30 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,JL2001, 21:04 , 25-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,pavlinux, 18:53 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Нуб, 01:19 , 21-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Ононим, 23:32 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Вареник, 06:01 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 23:40 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Ононим, 23:44 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Какаянахренразница, 05:05 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,KOT040188, 23:49 , 19-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Какаянахренразница, 10:16 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,IMHO, 00:55 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 00:59 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,тоже Аноним, 11:40 , 20-Ноя-15
      • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 12:02 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 00:59 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Bookman300, 01:30 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 16:29 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Sw00p aka Jerom, 01:53 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 03:30 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Khariton, 10:47 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 11:36 , 20-Ноя-15
      • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,тоже Аноним, 11:41 , 20-Ноя-15
      • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,angra, 12:50 , 20-Ноя-15
        • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Sw00p aka Jerom, 18:05 , 20-Ноя-15
    • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Sw00p aka Jerom, 18:03 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 07:39 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,невидимка, 09:29 , 20-Ноя-15
• Аттракцион невиданной щедрости,Абырвалг, 10:12 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,KT315, 10:49 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 16:24 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,РОСКОМУЗОР, 18:11 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Игорь, 19:24 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 22:17 , 20-Ноя-15
  • Выявлено второе вредоносное ПО, шифрующее файлы в Linux,freehck, 09:30 , 23-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,Аноним, 23:18 , 20-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,tmplsr, 08:58 , 21-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,arisu, 13:36 , 22-Ноя-15
• Выявлено второе вредоносное ПО, шифрующее файлы в Linux,XAnimus, 14:20 , 22-Ноя-15

День сурка.

«Доктор Вебер» пиарит свои антивирусы.

Судя по качеству их "вирусов", антивирусы тоже должны быть кривоватыми :)

> Судя по качеству их "вирусов", антивирусы тоже должны быть кривоватыми :)

Только GUI.  Ядро прямое и качественное.

Они забыли сказать, что распространяется оно через дырявые скрипты на php.

Желательно запущенные от рута, а то за сами скрипты наврят ли заплатят денег.

>Желательно запущенные от рута, а то за сами скрипты наврят ли заплатят денег.

вот и будет перепись тех кто не разделяет данные от остального
(и заодно ещё не делает бэкапы)

зы: нам как-то ломанули впн/фтп-сервер через сердце в ссш (через полгода после паники), так админ восстановил из бекапа и через 3 недели опять ломанули - обновить дистриб "админ" так и не догадался

> Они забыли сказать, что распространяется оно через дырявые скрипты на php.

Давай-ка URL своего сайта, ща проверим на недырявость! В футере подпиши "ЗБОЖ".

Но у меня нет динамики на наружних серверах.
Только статика!
Только HTML!

>> Компания "Доктор Веб" сообщила о создании расшифровщика, но пока распространяет его только в составе платной версии своего антивируса.

Видимо взяли готовый питон-скрипт от BitDefender и быстренько адаптировали под «вторую» версию своего «вируса»

Еще и на ГитХаб ничего не выкладывают, сраные проприетарщики.

>>Компания "Доктор Веб" сообщила о создании расшифровщика, но пока распространяет его только в составе платной версии своего антивируса.

Да, наверняка и не существует никакого вируса под названием Linux.Encoder1, просто Доктор Вэб решил потихому срубить бабла, вот и сообщила, что якобы есть расшифровщик, который решит все ваши проблемы. Хотя никто и в глаза этот расшифровщик не видели :)

но ведь дешифровщик фигурировал в истории исследования этого «вируса»

> Хотя никто и в глаза этот расшифровщик не видели :)

Так ведь и вирус тоже никто не видел. Это особенность всех вирусов под Линукс. Стэлс-режим, понимаешь ли.

Как страшно жить… ヅ

> ヅ

Зю?

> был выявлен позднее, но написан на несколько недель раньше

и откуда такие подробности знает антивирусная компания ?

Ну вот если вы вступили в каку, то логично, что кто-то сделал ее раньше, чем вы вступили.

Ваша логика устарела.
В наш век фьючерсов вы можете вступить по полной в то, что еще даже не начинали делать.

То что не начинали делать мы можем купить или продать, но вступить в это не можем.

А запускать от рута надо?

Еще также компилять, и даже официальную документацию просить у Др.Веб, иначе без полтора-литра не въехать :)))

Не забудьте также попросить патчи для вашего дистрибутива.

новый экземпляр также >>изменяет время модификации файла<<, т.е. подвержен той же уязвимости

меня одного смущает выделенная строчка ?

По времени вычисляют сид генератора рандомных чисел и восстанавливают ключ. Авторы вируса идиоты, нет бы как все нормальные люди читать /dev/urandom, а лучше /dev/random, даже придумывать ничего не надо, но нет, делают велосипед на небезопасной rand()

видать на этом построен процесс дешифровки. был бы рандом откуда они будут знать как расшифровать?)))

А всякие кошерные трукрипты не изменяют время доступа?
У многих все смонтировано с noatime, т е расшифровать не получится?
Да и время примерно известно и так. Число комбинаций не так велико. Там до микросекунд точность? В файл же обычно секунды только пишутся.

> У многих все смонтировано с noatime, т е расшифровать не получится?

atime - время последнего доступа. mtime - время модификации.
Файлы при шифровании фактически создаются заново, такое время записывают любые ФС.

Для того, чтобы что-то зашифровать "вирус" создает симметричный ключ AES.  Для создания ключа AES они использует стандартный rand() из libc, который инициируют текущим временем. После чего шифруют первый файл. Все эти действия занимают меньше секунды, а значит время модификации этого файла и является seed для rand. Так как последовательность выдаваемая rand полностью определяется seed, то дальше легко восстанавливается AES ключ и им расшифровываются все файлы.

> а значит время модификации этого файла и является seed
> для rand.

а в статье написано - также >>изменяет время модификации файла<<

думаю там должно было быть - также >>НЕ изменяет время модификации файла<<

А как вирус у себя установить? Я пробовал - не получилось (библиотек не хватает)

не плачь! возьми винду десяточку и всё запустится =)

Сотрудник доктора в комментариях. Задавайте свои вопросы.

>> Компания "Доктор Веб" сообщила о создании расшифровщика, но пока распространяет его только в составе платной версии своего антивируса.

Т.е. заплатите для распаковки? Dr.Web совсем не палится :-D

Таак, если Д-р Веб умеет расшифровать, то... кто же, интересно это зашифровал?
Настолько сильно даже Касперский не палится. Или... может быть...
давайте д-р Веб я зашифрую пару файлов, а вы их расшифруете!

А мораль этой новости такова: Срочно всем купить антивирус от ДокторВеб!

Какая компания,такой и антивирус. Думаю,никто не забыл историю с отжатием паблика?

http://vk.com/wall-774326_22420

походу, они забашляли модеру за публикацию новости, и теперь неугодные каменты и тут трут

Кстати, вот петиция автора отжатой группы против Dr. Web. Давайте подпишем, что ли?
https://www.change.org/p/%D0%BE%D0%BE�...

Хотя конечно можно и не подписывать. Тут такой забавный факт: пострадавший -- это Александр Речицкий. Тот самый манагер, продвигающий ReactOS. :)

"Компания "Доктор Веб" сообщила о создании расшифровщика, но пока распространяет его только в составе платной версии своего антивируса" - твари поганые...

Хитрый план, однако:
1. Распиарить факт, что под линь можно писать вири и трояны.
2. Получить комментарии от тех, кто в теме, как не допускать грубых ошибок в подобном софте.
3. И получить в итоге некоторое кол-во вирмеров.

Журнал ][-ер занят в т.ч. и подобным уже долгие годы. Докатились и до опеннета?

> Доктор Веб

дальше не читал @ комментарий написал

На бсд даже в линуксаторе не запускается( Решил таки поиграться и тут на тебе(