Lập trình viên cân nhắc tung ra phần mềm độc hại cho Linux

DeveloperPonders Release of Linux Malware

December 1, 2009, ByTom Jowitt

Sựthiếu phần mềm độc hại trên Linux có thể sắp thayđổi sau khi một lập trình viên đã thừa nhận anh ta đãphát triển một 'gói phần mềm độc hại cho Unix/Linux'.

Thelack of malware on Linux may be about to change after a developeradmitted he has developed a 'package of malware for Unix/Linux'

Lờingười dịch: Bạn đừng nói là hệ điều hành Linux làkhông thể có phần mềm độc hại nhé. Vẫn có thể làcó đấy. Tuy nhiên, không phải ai cũng dễ gì mà viếtcho nó, và nếu làm thế thật, anh/chị ta không dễ gì màtrốn lưới pháp luật đâu, vì nhiều người khác còn cókhả năng soi mã nguồn đấy.

Một lập trình viênmà nói anh ta mệt mỏi về lý lẽ “Linux là an ninh” đãsắp xếp để phát triển một “gói phần mềm độc hạicho Unix/Linux” để giúp các tin tặc có đạo đức thểhiện sự có thể bị tổn thương của hệ điều hànhnguồn mở.

“Tôi đã chán vớisự đồng thuận chung rằng Linux là rất an ninh và khôngcó phần mềm độc hại”, một lập trình viên có tênlà buchner.johannes đã viết trên Ask Slashdot, khi gửi lênbằng cái tên kdawson.

“Sau một tuần làmviệc, tôi đã kết thúc một gói phần mềm độc hạicho Unix/Linux”, Johannes đã viết. “Toàn bộ mục đíchcủa mình là để giúp những tin tặc mũ trắng chỉ rarằng một hệ thống Linux có thể biến thành một máytrạm của botnet bằng việc tải về một cách đơn giảnBOINC và gắn nó vào một tài khoản người sử dụng đểgiúp cho các dự án khoa học”.

Johannes nói phần mềmđộc hại này không khai thác bất kỳ lỗ hổng an ninhnào, chỉ làm lỏng các thiết lập an ninh và hành độngmột cách không lưu tâm đối với những thứ tải vềkhông được kiểm tra.

“Tôi đã thí nghiệmnó để bị tiêm bởi một PHP script (ngay cả việc làmhỏng phương thức an toàn), sao cho máy chủ web chạy nó;Tôi còn để một máy chủ ủy quyền proxy mà tiêm cho nóvào vỏ scripts và làm cho tệp đó bị lây nhiễm ngay, vàobổ sung nó vào Windows có thể thi hành được để chạytrong Wine. Nếu được chạy bởi người sử dụng, phầnmềm độc hại này có thể tự kiên gan trong cron, bashrcvà các tệp khác”, anh ta nói.

Johannes đã nói mụcđích của bài tập này là để cung cấp một tải sao chonhững người làm về an ninh có thể 'pwn' các hệ thốngđể chỉ ra những lỗ hổng an ninh, mà không làm hại(như việc xóa các tệp hoặc làm ngắt quãng hoạt độngbình thường).

Tuy nhiên anh ta đãthừa nhận không nghi ngờ về việc đưa ra bộ công cụnày là có đạo đức.

Adeveloper who claims he is tired of the “Linux is secure”argument has set out to develop a “package of malware forUnix/Linux” in order to help ethical hackers demonstrate thevulnerability of the open source operating system.

"Iwas fed up with the general consensus that Linux is oh-so-secure andhas no malware,” a developer going by the name of buchner.johanneswroteon Ask Slashdot, in posting filed by kdawson.

“Aftera week of work, I finished a package of malware for Unix/Linux,"Johannes wrote. "Its whole purpose is to help white-hat hackerspoint out that a Linux system can be turned into a botnet client bysimply downloading BOINC and attaching it to a user account to helpscientific projects.”

Johannessaid the malware does not exploit any security holes, only loosesecurity configurations and mindless execution of unverifieddownloads.

“Itested it to be injected by a PHP script (even circumventing safemode), so that the web server runs it; I even got a proxy server thatinjects it into shell scripts and makefiles in tarballs on the fly,and adds onto Windows executables for execution in Wine. If executedby the user, the malware can persist itself in cron, bashrc and otherfiles,” he said.

Johannesclaimed the object of the exercise was to provide a payload sosecurity people can 'pwn' systems to show security holes, withoutdoing harm (such as deleting files or disrupting normal operation).

Howeverhe admitted to doubts over how ethical it would be to release thetoolkit.

Anh ta có quan tâm rằngmột tin tặc tài ba có thể để tải của BOINC và đặtvào “thứ gì đó thực sự tồi tệ, có thể đượcbiến thành phần mềm độc hại phù hợp cho Linux”.

“Mặt khác, cáchthức mà nó tự kiên gan với nó trong khởi động tựđộng thực sự là khó chịu, và nó không thực sự làlỗ hổng an ninh mà có thể sửa được. Mặt khác, mộtscript như thế này có thể được viết bởi bất kỳ aikhác nữa, và nó có thể là hữu dụng để chỉ cho mọingười vì sao bạn cần SELinux trên một máy chủ, và vìsao việc kiểm tra nguồn của những thứ tải về (kiểmtra tổng thông qua các kênh tin cậy) là cần thiết”, anhta nói.

“Về mặt kỹ thuật,đây là một mẩu thú vị, nhưng liệu tôi có thể tung nóra được hay không? Tôi không muốn biến máy tính đểbàn Linux thành Windows, vì thế tôi thiên về việc khôngtung nó ra. Đâu là đạo đức của bạn khi tung phần mềmxám này ra nhỉ?” anh ta tự hỏi.

Đã có những ý kiếntrái chiều tranh luận về Johannes trong việc đưa ra phầnmềm độc hại này. Một người sử dụng có tên làJeff321 nói rằng anh ta đã tin tưởng Johannes đã quyếtđịnh rồi.

“Có 2 lựa chọn”,Jeff321 viết. “1. Đưa nó ra một cách nặc danh và khôngcó uy tín gì. 2. Viết về nó và có một chút uy tín(nhưng sau đó bạn không thể tung nó ra thực sự vì cáclý do pháp lý)”.

“Bạn không thể (vàsẽ không) đưa nó ra bây giờ”, anh ta bổ sung. “Nếuai đó bị tấn công bằng mã của bạn, hãy coi ai họ sẽkết án và kiện đây”.

Người sử dụngkhác, tên là sopsa cũng tham gia vào. “Tổng kết lại mànói thì nó không thực sự làm điều gì độc hại và nókhông phải là một con sâu. Không có một lý do pháp lýnào vì sao anh ta không tung ra mã nguồn và/hoặc một tàiliệu về nó”, sopssa nói.

“Vấn đề là, thậtngu ngốc cho mọi người cứ nghĩ các hệ thống của họlà an ninh một cách điên rồ”, anh ta viết. “Người sửdụng Linux luôn nói như vậy, vì họ đã nghe thế từnhiều người sử dụng Linux khác. Tốt hơn là hãy chỉcho mọi người rằng điều này thực sự là có thể, vàcó thể nó dẫn tới các hệ thống cũng sẽ tốt hơn”.

Hehas concerns that a genuine hacker would rip out the BOINC payloadand put “in something really evil, could be turned into properLinux malware.”

“Onthe one hand, the way it persists itself in autostart is reallynasty, and that is not really a security hole that can be fixed. Onthe other hand, such a script can be written by anyone else too, andit would be useful to show people why you need SELinux on a server,and why verifying the source of downloads (checksums through trustedchannels) is necessary,” he said.

“Technically,it is a nice piece, but should I release it? I don't want to turn theLinux desktop into Windows, hence I'm slightly leaning towards notreleasing it. What does your ethics say about releasing suchgrayware?” he asked.

Therewas a mix of opinions to Johannes's debate over releasing themalware. One user by the name of Jeff321 said that he believedJohannes has already decided.

“Therewere two options,” Jeff321 wrote. “1. Release it anonymously andtake no credit. 2. Write about it and get some credit (but then youcan't actually release it due to legal issues).”

“Youcan't (and won't) release it now,” he added. “If somebody getsattacked with your code, guess who they're going to prosecute and/orsue.”

Anotheruser, by the name of sopssa also waded in. “The summary says itdoesn't actually do anything malicious and it isn't a worm. There isno legal reason why he couldn't release the code and/or a paper aboutit,” said sopssa.

“Thething is, it's stupid for people to keep thinking their systems areinsanely secure,” he wrote. “Linux users fall for this all thetime, because they've heard so f-rom lots of other Linux users. It'sbetter to show people that it is actually possible, and maybe itleads to better secured systems too.”

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com