Китайская Pangu Lab вскрыла уязвимость Bvp47 от АНБ

Ну и где код этого бекдора в дистрах? Что надо смотреть? Мы на сайте о вкусной и здоровой лапше или где.

Очень страшно

Там если два раза вглубь прыгнуть по ссылкам есть PDF с разъяснениями механизма. Добавь в шапку, я там ничего не понял, может кто поймёт и объяснит простым языком.

Может это вообще баян? 2013тый год какой то и прочее.

Может это вообще баян? 2013тый год какой то и прочее.

Вон, в полките уязвимость, нашумевшую недавно, еще в 2013 зарепортили и всем было тогда насрать. Может и тут так же.

SecurityLab.ru тёрки ФСБ и АНБ

Это не уязвимость, а конкретный троянец, служащий для закрепления на уже взломанной машине. Сидит себе, притворяется валенком, слушает траффик. Если получает SYN-пакет с шифрованный правильным ключиком содержимым — выполняет некие действия. Ну и обладает определённым функционалом для сокрытия на заражённой машине, обхода selinux, борьбы с песочницами и подобного — ничего инновационного, банально перехват функций в ядре.

Да, я так и понял, только вот не понял одного, как он туда попадает?

Он же не входит в состав ядра и не распространяется с дистрибутивами?

Насколько я понял, то Linux, в целом, и отдельные его дистрибутивы, в частности, вообще не причём. Эта гадость может оказаться в составе любой *nix-подобной системы:

Some components in the Shadow Brokers leaks were integrated into the Bvp47 framework - “dewdrop” and “solutionchar_agents” - indicating that the implant covered Unix-based operating systems like mainstream Linux distributions, Juniper’s JunOS, FreeBSD, and Solaris.

Просто заголовки статей нам как-бы намекают, что у вас тут в этих ваших линупсах огромная дыра, которую вы 10 лет не замечаете.

Так что вопрос о том, как оно туда попало, считаю более актуальным, нежели что оно там делает

Уязвимость не в ядре, а все заголовки трубят обратное.

Спасибо за pdf

/usr/bin/modload

In a certain month of 2015

the same time, the V1 server connects to the V2 server’s SMB service and performs some sensitive operations, including logging in to the V2 server with an administrator account, trying to open terminal services, enumerating directories, and executing Powershell scripts through scheduled tasks.

И как он все это делает на незараженном сервере №2?

Тут нечего говорить. Как и было сказано, об этом трубили еще в 2013 году. Кому было насрать (чуть более чем всем), тем и сегодня насрать. А кому не насрать и так рефакторят ядро. И им тоже насрать становится.

я правильно понимаю, что надо обращать внимание на SYN с полезной нагрузкой?

самое главное, непонятно как оно унутрь пингвина попадает?

не нашёл ничего окромя «Tamper with kernel devmem restrictions»

и затем «Load non-standard lkm module files»