Batizado com nome herdado da estrela binária VV Cephei, o Linux.Cephei é provavelmente o primeiro file infector para executáveis ELF (utilizados nos sistemas baseados em Linux, entre outros) escrito na linguagem Nim. Isso mesmo, o autor é um tanto excêntrico e disse em seu blog que o Linux.Cephei é inofensivo (por enquanto) e fez somente para participar de um concurso de programação.
O vírus é do tipo que chamamos de prepender, ou seja, ele adiciona algo "antes" da execução de um programa saudável, no caso, de um binário ELF. A técnica para isso é a alteração de seu entrypoint.
Nos testes que fizemos aqui, o Linux.Cephei só funcionou com binários compilados estaticamente:
$ uname -a
Linux malinux 4.9.0-4-amd64 #1 SMP Debian 4.9.51-1 (2017-09-28) x86_64 GNU/Linux
$ cat /etc/debian_version
9.2
$ cat h.c
#include <stdio.h>
int main(void) {
printf("ola mundo do bem!\n");
return 0;
}
$ gcc -static -o hello h.c
$ ./hello
ola mundo do bem!
$ chmod +x linux.cephei
$ ./linux.cephei
$ ./hello
Did you know that VV Cephei, also known as HD 208816, is an eclipsing binary star system located in the
constellation Cepheus, approximately 5,000 light years from Earth? It is both a B[e] star
and shell star. Awesome! https://en.wikipedia.org/wiki/VV_Cephei
The more you know... :)
ola mundo do bem!
$ gcc -o hello h.c
$ ./linux.cephei
$ ./hello
ola mundo do bem!
Perceba que ele injetou seu código com sucesso no binário hello, mas somente quando foi compilado estaticamente.
Além da linguagem exótica, ultimamente não se vê muitos file infectors já que a moda de infectar executáveis passou. De qualquer forma, é bom ficar de olho. Com códigos como o do Linux.Ceiphei, vírus podem permanecer ocultos num sistema por muito tempo. E pouca gente usa antivírus no Linux, mesmo tendo uma alternativa livre como o ClamAV.
Comentários Recomendados
Participe da conversa
Você pode postar agora e se cadastrar mais tarde. Se você tem uma conta, faça o login para postar com sua conta.