Lupper.B. Infecta servidores bajo Linux, usa PHP, etc.
Nombre: Lupper.B
Nombre NOD32: Linux/Lupper.B
Tipo: Gusano de Internet (Linux)
Alias: Lupper.B, ELF_LUPPER.B, Exploit.Linux.Lupii, Exploit.Linux.Small.x, Linux.Lupii, Linux.Plupii, Linux/Lupper.A, Linux/Lupper.B, Linux/Lupper.worm, Linux/Lupper.worm.b, Linux/Lupper.X-exploit, Linux/Lupper-A, linux-lupper, Net-Worm.Linux.Lupper.b, Unix/Lupii.A
Fecha: 9/nov/05
Plataforma: Unix (Linux)
Tamaño: varios
Gusano que se propaga utilizando varias vulnerabilidades en servidores de Internet bajo Linux.
Cuando se ejecuta, abre una puerta trasera en el puerto UDP 27015, y envía un mensaje de notificación a una dirección IP remota.
Genera tráfico de salida a los puertos UDP 25555 y TCP 80.
También crea enlaces que incluyen las siguientes cadenas:
/blog/xmlrpc.php
/blog/xmlsrv/xmlrpc.php
/blogs/xmlsrv/xmlrpc.php
/cgi-bin/
/cgi-bin/awstats/
/drupal/xmlrpc.php
/phpgroupware/xmlrpc.php
/wordpress/xmlrpc.php
/xmlrpc/xmlrpc.php
El gusano envía solicitudes HTTP a los enlaces antes generados (paquetes SYN a TCP 80), para intentar propagarse utilizando conocidas vulnerabilidades en servidores bajo Linux.
Una de las vulnerabilidades empleadas por el gusano, fue hecha publica recientemente, y está relacionada con la posibilidad de inyectar código en páginas PHP en un entorno XML-RPC, lo que permite la ejecución de código en el contexto del servidor Web.
PHP, acrónimo de "PHP: Hypertext Preprocessor", es un lenguaje interpretado de alto nivel, y de código abierto, que se ejecuta en el servidor, y puede estar embebido en páginas HTML. Permite desarrollar páginas web dinámicas de una manera rápida y fácil.
El protocolo XML-RPC es la implementación estandarizada de un lenguaje basado en XML, utilizado en muchos servicios Web.
Otras vulnerabilidades explotadas por este gusano están relacionadas con las utilidades AWStats (Advanced Web Statistics, una herramienta que genera estadísticas gráficas para sitios web), y Webhints (permite agregar citas diarias, etc.).
El gusano intenta descargar desde una determinada página web, una copia de si mismo en los sitios a los que apuntan los enlaces.
También puede crear los siguientes archivos:
/tmp/listen
/tmp/listen.log
/tmp/update.listen
Limpieza del sistemaNOTA: Un sistema afectado por este gusano, debería ser totalmente reinstalado, y los datos restaurados desde respaldos limpios, ya que al abrirse una puerta trasera en el servidor, que permite el acceso remoto a intrusos, jamás se podrá saber el grado de compromiso al sistema que se pueda haber alcanzado.
Más información:
http://www.vsantivirus.com/lupper-b.htm
