パスワードを忘れた？ アカウント作成
Close
2538 story

Linuxウィルス Linux.Jac.8759 発見 31

ストーリー by wakatono
実行しなきゃ害なしなんだが 部門より

lss 曰く、 "Linux.Jac.8759 というLinuxウィルスが発見されました。
シマンテックの情報によると、

    「Linux.Jac.8759 は、Linux環境下でファイルに感染するウイルスです。このウイルスは、自身と同じディレクトリ内に存在するELF実行ファイルに感染します。」 との事。

危険性は低いようですが、念のため用心してください。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Linuxウィルス Linux.Jac.8759 発見 More

  • Ｌｉｎｕｘをデスクトップに使おうとする場合、
    ウィルス対策ソフトってあるんですかねぇ。
    見たことないんですが。

    Windows用みたいに 5,000円程度で売ってるんなら
    即、買うんですが。。。

    でも、そろそろ、ほしいと思いませんか？

  • Linuxウィルスといえば (スコア:1)

    by rug (55) on 2002年03月15日 11時36分 (#71988) 日記
    ちょうど The Linux Virus Writing HOWTO [uni-linz.ac.at]が公開されたばかりですね。

  • 感染経路は？ (スコア:1)

    by zeissmania (3689) on 2002年03月15日 11時38分 (#71990)
    どうなってるんでしょうね？
    Linuxを使ってる人が、訳の分からない添付ファイルを実行するとは思えないが．．．。

    • Re:感染経路は？ (スコア:1)

      by brake-handle (5065) on 2002年03月15日 11時53分 (#71999)

      もし私が悪事を働くならば、偽造したbinary packageに入れるでしょうね。コレクターでもない限り、binaryが確実に実行されます。

      シェア
      親コメント

      • Re:感染経路は？ (スコア:2, おもしろおかしい)

        by zeissmania (3689) on 2002年03月15日 12時08分 (#72004)
        偽造したrpmに入れるなら、ウィルスじゃなくともいいのでは？
        ファイルを削除しまくるSPECファイル書いて、rpm作ればそれでシステムを破壊するパッケージ作れますので。
        シェア
        親コメント

      • Re:感染経路は？ (スコア:2, 興味深い)

        by rug (55) on 2002年03月15日 12時36分 (#72019) 日記
        debやrpmではGnuPGでsignできるようになっていますけど、 rpmの場合はsignされていないパッケージが多いですね。 Red HatやMandrakeなど海外のdistributerはちゃんとsign していますけど、日本のdistributerでsignしているところってあります?
        シェア
        親コメント

        • Re:感染経路は？ (スコア:2, すばらしい洞察)

          by dai75 (557) on 2002年03月15日 13時01分 (#72034) 日記
          サインされていても分かるのは改変されていないということだけで、そもそもパッケージ作成者がウイルスに感染していないって保証にはならないですよね？

          一度混入したら影響範囲がでかいので、二重三重にチェックしかけといた方がよいと思います。
          特にウィルスは、セキュリティホールより発見が早いので配布/インストール前のパターンチェックは有効でしょうし。
          --
          -- wanna be the biggest dreamer
          シェア
          親コメント

          • コンパイラが感染 (スコア:2, すばらしい洞察)

            by kubota (64) on 2002年03月15日 15時38分 (#72097) ホームページ 日記

            して、コンパイルしたバイナリがウィルス添付済とかいうと、やだな。ほかにも、パッケージングツールが感染とか。Debian なら、潜伏期間を 10 日以上に設定しておけば unstable → testing のチェックにもひっかからないかもしれないし。

            シェア
            親コメント

      • Re:感染経路は？ (スコア:1)

        by dai75 (557) on 2002年03月15日 12時11分 (#72005) 日記
        もちろんアップロード時にチェックするでしょうが、水際防止策として、dpkg/rpm/install コマンドでチェックしてくれるといいかも。
        既にあります？
        --
        -- wanna be the biggest dreamer
        シェア
        親コメント

      • Re:感染経路は？ (スコア:1)

        by oku (4610) on 2002年03月15日 12時37分 (#72021) 日記
        Makefile に書いて ports に入れるってのはいかがでしょう？

        # 見りゃバレるか...

        シェア
        親コメント

    • Re:感染経路は？ (スコア:1)

      by joshkata (4660) on 2002年03月15日 15時36分 (#72094)
      Linuxを使ってる人が、訳の分からない添付ファイルを実行するとは思えないが．．．。
      そんな事ないのでは? 「とりあえず入れてみました」なんて人たくさんいますし、Linuxユーザだからといってセキュリティ意識が高いなんてことはないし。

      添付ファイルを簡単に実行できるようなメイラが少ないから、ってことでしょうか。

      シェア
      親コメント

    • Re:感染経路は？ (スコア:0)

      by Anonymous Coward
      ちょっと話はずれますが。

      >Linuxを使ってる人が、訳の分からない添付ファイルを実行するとは思えないが

      Linux ディストリビュータがこういう状況に甘えていられなくなる日も
      やがてくるのでしょうか。

      それともあくまで自己責任で使える人だけのOSのままなのか...。

    • Re:感染経路は？ (スコア:0)

      by Anonymous Coward
      こういう意見が出ること自体怖い。
      現状Linuxを使用しているユーザーの半数以上は、
      何のセキュリティ意識も持たないユーザー。
      半数はrootで普段作業してるよ。
  • 元記事を見るとWindows用かなにかのウィルスチェッカーで検出できるようですが、Linuxマシン上で検出する方法はなにがありますかね。
    FreeBSDはバイナリが変更されてると報告が来るらしいのですが、そういう機能がどっかにあるのかな。
    少なくともうちのdebianはそんなメッセージ出して来た事は無いんですが。
    • 定期的に rpm -Va のリストを記録しておくと、 ある程度は改竄検出に役立つと思います。
      あと、/etc と $HOME は全て CVS で管理とか。
      私はこれらで代用してます。

      もっとも、このやり方が普及したら /var/lib/rpm や $(</etc/CVS/Root) を操作するような Virus も出てきちまう?(^^
      シェア
      親コメント

    • Re:検出方法は? (スコア:0)

      by Anonymous Coward
      tripwire?

      • Re:検出方法は? (スコア:1)

        by dai75 (557) on 2002年03月15日 18時38分 (#72157) 日記
        tripwire ライクなソフトだと、samhein がオススメです。

        サーバープロセスで常時監視。

        さらに。

        プロセスや利用ファイルを暗号化して侵入者に検出されないようにするという「ステルスモード」付き。
        --
        -- wanna be the biggest dreamer
        シェア
        親コメント

      • Re:検出方法は? (スコア:0)

        by Anonymous Coward
        >tripwire?

        ウィルス検出ソフトじゃないです。

        つか、正常なファイルのハッシュ値を取る前に不正なファイルのハッシュ値を正しいものとして認識させてしまったらアウトです。:-P

        • Re:検出方法は? (スコア:1)

          by seldon (5637) on 2002年03月15日 20時25分 (#72207)
          つか、正常なファイルのハッシュ値を取る前に不正なファイルのハッシュ値を正しいものとして認識させてしまったらアウトです。:-P
          インストールしたファイル以外のインストール済みのファイルが引っかかってきたら何かアヤしいという事には気付けるかも...
          まぁ、カンペキじゃないですが、検出の取っ掛かりぐらいにはなる...かも？
          シェア
          親コメント

        • Re:検出方法は? (スコア:0)

          by Anonymous Coward
          「tripwire(でもはいっているんじゃ)?」が全文です(スマ)

  • ターゲットは? (スコア:1)

    by shiba (273) on 2002年03月15日 18時04分 (#72146) ホームページ
    シマンテックの情報を見たが,感染対象とかがよく分からない.
    (どこか見落としているのかな?)

    特に次の部分

    >ただし、ファイル名が ps で終わるファイルや、
    >x86(Intel)プラットフォーム用に作成された
    >ファイルには感染しません。

    ファイル名がpsが終わるファイルはいいとして,
    x86(Intel)～の部分は,???

    SPARCとかPowerPCとかx86以外だけが感染するのですか?
    逆にいうと普通のAT互換機のLinuxユーザは,気にしなくていいの?
    (ただ単にOSだけを記述されてもなあ～)
    • （昨日から「Slow down Cowboy」とか「Invalid form key」とかのエラーで書き込めなくていらいら……これは書き込めるかなあ？）
      SPARCとかPowerPCとかx86以外だけが感染するのですか?
      逆にいうと普通のAT互換機のLinuxユーザは,気にしなくていいの?
      日本語訳が間違っているのだと思います。

      http://www.symantec.co.jp/sarcj/data/l/linux.jac.8759.html [symantec.co.jp]:
      ただし、ファイル名が ps で終わるファイルや、x86(Intel)プラットフォーム用に作成されたファイルには感染しません。
      http://www.symantec.com/avcenter/venc/data/linux.jac.8759.html [symantec.com]:
      The virus will not infect files that end with the letters ps, nor will it infect files that were not created for the x86 (Intel) platform.
      （ファイル名が？）「ps」で終わるファイルや、 x86 （Intel）プラットフォーム以外のファイルには感染しません、というのが正しいように思います。

      一応 Symantec の Webmaster の feedback form [symantec.com] を使ってフィードバックを送ってみましたが、なんか送る場所が違うような気がします。本当はどこに送るべきなのでしょう？
      --
      鵜呑みにしてみる？
      シェア
      親コメント
typodupeerror

人生unstable -- あるハッカー