Batizado com nome herdado da estrela binária VV Cephei, o Linux.Cephei é provavelmente o primeiro file infector para executáveis ELF (utilizados nos sistemas baseados em Linux, entre outros) escrito na linguagem Nim. Isso mesmo, o autor é um tanto excêntrico e disse em seu blog que o Linux.Cephei é inofensivo (por enquanto) e fez somente para participar de um concurso de programação.
O vírus é do tipo que chamamos de prepender, ou seja, ele adiciona algo "antes" da execução de um programa saudável, no caso, de um binário ELF. A técnica para isso é a alteração de seu entrypoint.
Nos testes que fizemos aqui, o Linux.Cephei só funcionou com binários compilados estaticamente:
$ uname -a
Linux malinux 4.9.0-4-amd64 #1 SMP Debian 4.9.51-1 (2017-09-28) x86_64 GNU/Linux
$ cat /etc/debian_version
9.2
$ cat h.c
#include <stdio.h>
int main(void) {
printf("ola mundo do bem!\n");
return 0;
}
$ gcc -static -o hello h.c
$ ./hello
ola mundo do bem!
$ chmod +x linux.cephei
$ ./linux.cephei
$ ./hello
Did you know that VV Cephei, also known as HD 208816, is an eclipsing binary star system located in the
constellation Cepheus, approximately 5,000 light years from Earth? It is both a B[e] star
and shell star. Awesome! https://en.wikipedia.org/wiki/VV_Cephei
The more you know... :)
ola mundo do bem!
$ gcc -o hello h.c
$ ./linux.cephei
$ ./hello
ola mundo do bem!
Perceba que ele injetou seu código com sucesso no binário hello, mas somente quando foi compilado estaticamente.
Além da linguagem exótica, ultimamente não se vê muitos file infectors já que a moda de infectar executáveis passou. De qualquer forma, é bom ficar de olho. Com códigos como o do Linux.Ceiphei, vírus podem permanecer ocultos num sistema por muito tempo. E pouca gente usa antivírus no Linux, mesmo tendo uma alternativa livre como o ClamAV.
Recommended Comments
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.