Linux-Wurm

[Huschi]

Anti-Viren-Hersteller warnen vor einem Wurm namens Plupii bzw. Lupper, der Sicherheitslücken in PHP- bzw. Webapplikationen ausnutzt und darüber Linux-Server befällt.

Der Wurm namens Linux.Plupii bzw. Linux/Lupper.worm nutzt eigentlich längst geschlossene Sicherheitslücken in PHPs XML-RPC-Implementierung bzw. des Rawlog-Plug-ins von AWStats sowie eine Sicherheitslücke in Darryl Burgdorf Webhints aus, um sich zu verbreiten. Er klopft dazu bei beliebigen Systemen auf dem HTTP-Port 80 an, wobei er zahlreiche Standard-URLs testet.

Befällt er einen Rechner, so sendet der Wurm eine Nachricht an seinen Schöpfer auf dem UDP-Port 7222 und öffnet eine Hintertür auf den UDP-Ports 7111 und 7222, durch die ein System von außen anfällig wird. Zudem speichert der Wurm eine Kopie von sich selbst in der Datei "/tmp/lupii".

Quelle: PC-Magazin / Golem

 

[fmschrader]

Und wie kann man sich bzw seinen Server davor schützen?

Ciao

Martin

 

[Tobster]

Sicherheitsupdates installieren (schon geschlossene Lücken!) oder kein PHP bzw. keinen Apache benutzen.

 

[DjTom-i]

Sicherheitsupdates installieren (schon geschlossene Lücken!) oder kein PHP bzw. keinen Apache benutzen.

Schön wäre zu wissen welche php und apache Versionen dafür anfällig sind.

Weiß da einer was genaueres?

 

[Tobster]

Evtl. bei Antivirenherstellern oder bei den Autoren des Artikels nachhaken. Huschi hat den Artikel doch bei PC-Magazin / Golem gefunden. Steht da denn mehr?

 

[Huschi]

Und wie kann man sich bzw seinen Server davor schützen?

Vorallem, indem man sein (php)tmp-Verzeichniss ohne Execute-Berechtigung mounted.

Huschi hat den Artikel doch bei PC-Magazin / Golem gefunden. Steht da denn mehr?

Natürlich nicht. Diese Magazine haben ja nicht wirklich Ahnung...

huschi.

 

[fmschrader]

Hmm, also /tmp auf 666 setzen, oder?

Unter Confixx werden die Verzeichnisse /webx/phptmp
standardmäßig auf 755 erstellt. Soll ich die alle umsetzen?

Ciao

Martin

P.S. /tmp auf 666 geht nicht, da laufen lauter Anwendungen nicht mehr.

 

[Huschi]

Hmm, also /tmp auf 666 setzen, oder?

Nein, ich sagte 'mounten' nicht chmodden.

huschi.

 

[fmschrader]

Nein, ich sagte 'mounten' nicht chmodden.
huschi.

Mann, Du bist aber heute wieder penibel.

Öhm, wie ging das noch gleich?

Ciao

Martin