|
Controlado desde el
19/10/97 por NedStat
Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro
visitante número desde
el 12 de agosto de 1996
| Troyano en "libpcap" y "tcpdump" | ||
|---|---|---|
VSantivirus No. 860 - Año 7 - Jueves 14 de noviembre de 2002 Troyano en "libpcap" y "tcpdump" http://www.vsantivirus.com/14-11-02.htm Por Redacción VSAntivirus vsantivirus@videosoft.net.uy Libpcap y Tcpdump son respectivamente, una librería y una herramienta muy utilizadas en ambientes Linux, que proporcionan facilidades de monitoreo de paquetes a programas como Snort (Libpcap), o directamente monitorean el intercambio de paquetes en los protocolos TCP/IP (Tcpdump). Según el descubrimiento de un grupo de usuarios de Linux (The Houston Linux Users Group), los códigos fuentes más recientes de Libpcap y de Tcpdump, disponibles para descarga del sitio tcpdump.org, están contaminados con el código de un troyano. La advertencia fue inmediatamente reportada a los responsables de tcpdump.org, quienes deshabilitaron las descargas de dichos códigos hasta no se corrija la falla. El código del troyano permite la descarga de un script de comandos que puede crear un archivo en C y luego compilarlo. El código compilado se conecta a través del puerto 1963, a una dirección IP determinada (212.146.0.34) y examina el estado de tres bytes de control para realizar diferentes acciones:
Es importante hacer notar que el troyano utiliza siempre la misma conexión para el shell (entradas y salidas), de modo que puede saltearse a cualquier cortafuego que solo filtre las conexiones de entrada. MD5 Sum 0597c23e3496a5c108097b2a0f1bd0c7 libpcap-0.7.1.tar.gz Las fuentes troyanizadas en cambio, dan como resultado los siguientes hashes: MD5 Sum 73ba7af963aff7c9e23fa1308a793dca libpcap-0.7.1.tar.gz La solución pasa por volver a compilar ambas utilidades, pero asegurándose que se está haciendo desde un código limpio. |
||
