Pese a que el problema lleva resuelto desde hace tiempo, bien es sabido que no todo el mundo actualiza sus sistemas con la conveniente celeridad y no menos cierto es que la administración de sistemas es compleja y a veces los usuarios se conforman con que aquello que han instalado, simplemente, funcione. De hecho, hay multitud de servidores PHP con soporte XML-RPC no actualizados en la actualidad, lo que faculta al troyano a poder explotar la vulnerabilidad.
Los investigadores de SANS han realizado análisis del troyano y han determinado que realiza operaciones de escucha y comunicación empleando el puerto UDP 7111 a través de la función "audp_listen", función invocada habitualmente para la creación de sockets. Los valores de socket, número de puerto y la información genérica del socket se almacenan en la variable global "udpserver". El gusano instala un troyano usando wget, y permite en caso de vulnerabilidad, tal y como se ha especificado, la ejecución de código arbitrario con los privilegios del usuario del servidor web, lo cual resta importancia al problema. El troyano efectúa peticiones a
servidores Web, y según los investigadores, los sistemas sin actualizar podrían necesitar una purga completa y una reinstalación del sistema operativo para su vuelta a la normalidad.
El troyano ya ha sido bautizado por los distintos laboratorios antivirus:
A las 12:10 p.m del día 9 de noviembre de 2005, los motores antivirus denominan al espécimen tal y como sigue (resultados tomados de VirusTotal.com)
AntiVir: Worm/Linux.Lupper.A
Avira: Worm/Linux.Lupper.A
ClamAV: Exploit.Linux.Lupii
DrWeb: Linux.Lupii
eTrust-Vet: Linux/Lupper.B
Fortinet: Linux/Lupper.X-exploit
F-Prot: Unix/Lupii.A
Kaspersky: Net-Worm.Linux.Lupper.a
McAfee: Linux/Lupper.worm
NOD32v2: Linux/Lupper.A
Norman: Linux/Lupper.A
Sophos: Linux/Lupper-B
Symantec: Linux.Plupii
La cantidad enorme de sistemas y aplicaciones susceptibles de sufrir los efectos del troyano, es amplísima: todos aquellos productos que en su día eran susceptibles de la vulnerabilidad XML-RPC descrita, y que no hayan sido actualizados hasta la fecha, podrían ser víctimas del troyano:
Debian, SuSe, Redhat, Ubuntu, Trustix, Gentoo, Red Hat Enterprise, Fedora Core, Conectiva, Mandriva, Turbolinux, Sun Cobalt, Xoops, Wordpress, Tikiwiki, Postnuke, phpWebsite, PHPHGroupWare, Drupal , etc.
Se recomienda a los administradores de soluciones que aparezcan como vulnerables (consúltese enlace al pie del mensaje) que actualicen las mismas de modo inmediato.
Fuente: http://www.hispasec.com/HispaSec