Появился под Linux вирус - OrBit

то есть, если антивирус не только «сканирует виндовую почту» - то работоспособный?

ты знаешь, что такое бэк-коннект?

я да, а ты? вот тебе адресок: 18.196.117.218, когда что то получится, напиши.

и зачем для бэк-коннекта нужен открытый порт у жертвы?

Супер комьюнити профессионального аудита 🤣

community contains packages that have been adopted by Trusted Users from the Arch User Repository. Some of these packages may eventually make the transition to the core or extra repositories as the developers consider them crucial to the distribution.

Вполне себе серьёзно. Откуда такое отношение к arch и archbased. Это конечно не Debian stable но троянов в официальных репах у них точно нет. Да и в AUR тоже.

И да, многие линуксоиды не брезгуют этим с торрентов

Чем? Качают торренты? Конечно качают. Только очень мало вероятно что кто-то из линуксоидов запустит под рутом исполняемый файл с расширением torrent, да и не под рутом тоже.

и зачем для бэк-коннекта нужен открытый порт у жертвы?

ты обосрался, так и скажи

ну так зачем же? :)

например KES, он и твой https трафик посмотрит и к файлику доступ закроет, если захочет, под онтопиком, да

Не обязательно. Но это одно из обязательных требований. Ещё говорят в линуксах смысла в антивирусах не так много (это майкрософт может не патчить дыры годами для совместимости), надо не симптомы лечить, а причину заболевания. Симптомы лечить поздно, к тому моменту когда вирус недельку посидел на сервере, всё что надо уже слилось в сеть или зашифровалось успешно.

понятно, антивирусов нет, но оказывается есть, но причина в другом

Я - ничего не сделаю. А специалисты по безопасности, вычислят сервер и как минимум прикроют. Что уже неоднократно практиковалось с настоящими зловредами.

ну и наивно полагать, что он там «вбит», список тупо скачивается

Какая разница? Соединение установлено? Туннель висит? Значит я его увижу в открытых исходящих.

огда этим сервером будет libera.chat, или gmail.com или серверы телеги, матрикса whatever

Не пускает.

└─> ssh -l kott gmail.com
^C

А ты не знаешь похоже. На жертве нужно что-то что слушает порт и при этом дырявое как говно. Иначе ничего не выйдет.

ssh -l kott gmail.com

а ты по https попробуй, вдруг получится :)

а зачем слушать порт?

Не прикроют. Кто им даст то. Даже ФСБ/ФБР/АНБ лесом пошлют, если адресок в Швейцарии, а пока бумажки все оформят, то уже поздно будет его закрывать, он в Израиль переедет, а потом в Нигерию.

Значит я его увижу в открытых исходящих

а, я понял, вычислишь по айпи

Удачи бекконнектнуться к яндексу, товарищ какер.

И что мне помешает увидеть этот коннект, например, в netstat -t?

а ты не можешь подключиться к яндексу? на, вот: https://mail.yandex.ru

да ничего, если заметишь, конечно, и как ты пойдешь вычислять злоумышленника?

то есть скачать и запустить ничего не мешает, так?

Только твой мозг сможет помешать это сделать. Патч Бармина ты тоже сможешь запустить если хочешь он при неудачных обстоятельствах ещё и UEFI снесет нафиг и ноут окирпичит.

└─> ssh -l kott -p 443 gmail.com
kex_exchange_identification: banner line contains invalid characters
banner exchange: Connection to 142.251.1.17 port 443: invalid format

верно, линукс оказывается никак не защищает, да?

и антивирусы есть, оказывается

Давно уже есть, только мало кто ими пользуется

а зачем ты ssh клиентом туда лезешь?

Я уже написал. Я - никак. А нормальные исследователи(а не шарлатаны из ОП-поста), найдут способы. Гугли про истории успеха сам.

Потому что написано, что этот «вирус» использует ssh.

Ну и в принципе, какая разница? Чем вирусу поможет доступ к гуглопочте по любому другому протоколу? ssh over smtp?

Их просто применить пока особо некуда, кроме сканирования виндовых шар и почты на виндовые же зловреды.

Очень хочу посмотреть в любом случае, насколько от будущих зловредов под линукс будет спасать не-сидение под рутом и репозитории. Именно про десктоп речь, где нет сетевых сервисов и машина за NAT.

а писал про бэк-коннект

Рассказывай, как ты сделаешь бек-коннект через сервер гугла.

ssh over smtp?

ага, догадался, ну не совсем это быстро будет, но доступ к машине номинально есть, за поимкой злоумышленника - в гугл, только уже буквально

Окай. Удачи в реализации.

то есть, про троянцев работающих через irc в 90-х ты не слышал? про php ботов работающих через почту, тоже нет?

ЗЫ в гугле даже когда-то jabber сервер был публичный, но чёт прикрыли :)

Про это всё слышал. Сам в молодости писал бота для IRC, который умел удалённые команды выполнять.

Здесь же нам говорят, что «вирус» устанавливает именно ssh-соединение со скомпроментированной машиной. И таки жду, как ты это реализуешь через почтовый гуглосервер.

Про это всё слышал.

И таки жду, как ты это реализуешь через почтовый гуглосервер.

в чем разница между irc и почтой?

Здесь же нам говорят, что «вирус» устанавливает именно ssh-соединение со скомпроментированной машиной.

но ты сам влез в мой ответ про бэкконнект, а теперь это нельзя обсуждать, потому что в новости про него не написано?

в чем разница между irc и почтой?

В случае, когда нам нужен ssh - никакой. Оба не нужны.

Что касается бекконнекта - зловред должен создать туннель с удалённой машиной, через который уже взломщик попадёт на атакуемую систему. Как это сделать через гуглосервер?

что такое «попадать» в атакуемую систему? выполнить любую команду?

The malware implements advanced evasion techniques and gains persistence on the machine by hooking key functions, provides the threat actors with remote access capabilities over SSH, harvests credentials, and logs TTY commands.

почему ты упёрся в ssh? по-другому что-ли никак, потому что в новости про «вирус»?

Потому что в статье написано про ssh, см. цитату выше.

тут уже сложно возразить, раз в «статье» написано… но ведь зачем-то ты полез чота писать про сервера злоумышленников… компетентные органы

Как минимум, uac не запрашивает пароль.

Чего? Мне вот «вендузятникам» прошлось дать совет поставьте пароль «1»

Арчешкьники Невер чейнжед

Потому что с настоящими вирусописателями так и борятся. Если взломщик глуп и держит свой сервер для управления - находят его. Если пользуется чужими в качестве прокси, просто их прикрывают. Что делает подобные, описанные в статье механизмы бесполезными.

Но тут опять же, про бекконнект - ты сам додумал. В статье ни слова не сказано, как именно устанавливается ssh-соединение. Но факт в том, что раз оно устанавливается, вычислить такого зловреда очень легко при наличии минимального мониторинга.

Почему большинство твоих поней некомплектные? То ушей не хватало, теперь плеч…

Если пользуется чужими в качестве прокси, просто их прикрывают.

кого, сервер гугл прикроют? тут вроде только соцсети банят, и то по другой причине

В статье ни слова не сказано, как именно устанавливается ssh-соединение.

если ты думаешь, что регулярно упоминание «статьи» как-то тебе помогает - то ошибаешься

И снова я жду от тебя реализации ssh-соединения с гуглосервером.

если ты думаешь, что регулярно упоминание «статьи» как-то тебе помогает - то ошибаешься

Я лично прочитал статью с описанием «вируса» и его обсуждаю. И вижу в конкретно этой статье глупые заявления, на которые и указываю. Никакая помощь мне не нужна.

Закон

Там война, если я правильно понимаю. Коммерсанты облепливаются лицензиями ФСБ и т.п. контор и впихивают гос-ву машины с Линуксами, заведомо пропихнув путаное т/з, чтоб никто больше не полез. От одного из коммерсантов слышал, что поставляют РедОС. Почему она, не раскрывается)) Когда я рассказал, что поддержка, скажем, у Альта лучше, отвечают, что это дебри и главное — другое. Что другое, неизвестно.

в чём глупость, конкретно, и где я утверждал про ssh туннель?

Вирус компилится норм ? Что для сборки нужно ?