Vous savez sans doute tous qu'une des sécurités de linux, c'est entre le fait que les fichiers téléchargés ne sont pas exécutables par défaut. Tous ? Ben, pas vraiment, il y a certains moyens de contourner ça. Par exemple, les archives peuvent par exemple préserver le status d'exécutable. Bon, évidement, de là à faire un virus, y'a un pas. Il faudrait télécharger l'archive puis exécuter son contenu. Si il y a une faille ici, c'est dans l'interface chaise-clavier.
Mais on peut faire mieux, comme le révèle ce blog:
http://www.geekzone.co.nz/foobar/6229. En gros, pour résumer la technique, en français: on crée un fichier photo.desktop sans extension, et dans le fichier, on met:
[Desktop Entry]
Name=photo.jpg
Exec=bash -c 'touch succes'
Icon=/usr/share/icons/default.kde4/128x128/mimetypes/image-jpeg.png
Terminal=true
Si vous téléchargez le fichier, il apparaitra dans votre gestionnaire de paquet avec une icône de photo. Si vous cliquez dessus, il va dans ce cas-ci créer un fichier qui s'appelle
succes. Ceci dit, on peut changer la commande 'touch success' par des trucs beaucoup moins marrants. Par exemple, on peut aller télécharger un script extérieur via wget qui va chercher les adresses du carnet de mail, et renvoyer le malware à tout le carnet d'adresse (pas besoin de droits root pour ça), ou supprimer le répertoire utilisateur, etc...
Mais on peut faire mieux. En gros, on peut prendre un script qui va changer le fichier desktop du gestionnaire de paquet (pas besoins de droits root pour ça).
[Desktop Entry]
Name=Adept Package Manager
Exec=kdesudo synaptic
Icon=adept
Terminal=false
En
[Desktop Entry]
Name=Adept Package Manager
Exec=kdesudo adept & .hidden/malware.sh
Icon=adept
Terminal=false
Et là, vous venez de lancer le programme malware.sh en root, l'auteur du programme fait ce qu'il veut de votre ordi.
Vous en pensez quoi ? Ce n'est pas un virus à proprement parler, parce qu'il ne sait pas se reproduire tout seul, et repose sur une bonne dose d'ingénierie sociale, mais la facilité avec laquelle on peut tromper l'utilisateur me semble déconcertante. Cela montre qu'encore une fois, la sécurité, ce n'est pas un programme, c'est un état d'esprit 🙂.
A+
Adh'
