☰

Clamav 检测木马

tag-icon • tag-icon 16.04 clamav trojan
Clamav 检测木马

我刚刚扫描了我的系统并clamav检测到一些可疑文件：

File: .cahe/mozilla/firefox/jqxk4r44.default/cache2/entries/750B6E2F1286....
Status: PUA.Win.Exploit.CVE_2012_1461-1

File: .cahe/mozilla/firefox/jqxk4r44.default/cache2/entries/F099C33HJ45J....
Status: PUA.Win.Exploit.CVE_2012_1461-1

File: .config/libreoffice/4/user/basic/Standard/Module1.xba
Status: PUA.Doc.Tool.LibreOfficeMacro-2

File: Downloads/nodejs/node-v8.9.4-linux-x64/lib/node_modules/imurmurhash/imurmurhash.min.js
Status: PUA.Win.Trojan.Xored-1

这些文件是真实威胁/木马的可能性有多大？

答案1

漏洞利用.CVE_2012_1461-1

  • PUA 的意思是“潜在的有害应用程序”。PUA 不是病毒，而是 clamav 声称存在他们认为“有害”的应用程序，因为该文件或扩展名已被证明在 Windows 中被滥用
  • Win 作为第二部分意味着它是与 Windows 相关的通知。
  • clamav 有一个不扫描 PUA 的选项。

我的结论是：没什么可担心的。

那就剩下...

PUA.Doc.Tool.LibreOfficeMacro-2

.config/libreoffice/4/user/basic/Standard/Module1.xba有一个扩展 clamav 绊倒了。他们认为xba，Visual Basic 宏被认为是“不需要的”。请参阅Clamtk 报告这些 LibreOffice 文件可能存在威胁。它们安全吗？以获得更完整的列表、答案和评论。

ClamAV 是出了名的有缺陷的软件：基于 Windows 的扫描和警告，然后将它们应用到 Linux 上，这是行不通的，也永远不会起作用。

当你看到这样的通知，并且你真的相信 clamav 是可以使用的工具时，下一步就是检查第二个来源：例如将文件上传到类似病毒总数或者将第二个病毒扫描软件与 clamav 一起使用（当两者都声称存在相同的问题时，您可以进行调查，否则将它们视为误报）。

但我会完全放弃 clamav，并遵循基于 Linux 的方法：使用德布苏姆（链接至手册页）检查包（链接到操作方法）。

当您真的很偏执时（熊猫就在这里看着您）请使用以上所有方法；）

答案2

我不会轻易忽视这个警告，它说的是 PUA

Module1.xba：发现 PUA.Doc.Tool.LibreOfficeMacro-2
dotjoshjohnson.xml-2.5.1：发现 PUA.Win.Trojan.Xored-1
ms-azuretools.vscode-docker-1.8.1：发现 PUA.Win.Trojan.Xored-1
file-downloader-PUA.Win.Adware.Qjwmonkey-6892535-0 已发现
BouncyCastle.Crypto.dll：PUA.Win.Adware.Qjwmonkey-6892535-0已发现
BouncyCastle.Crypto.dll：PUA.Win.Adware.Qjwmonkey-6892535-0 已发现
jquery-ui.min.js：发现 PUA.Win.Trojan.Generic-6888382-0

因此，恕我直言，您可以忽略 LibreOffice 宏，因为它将其检测为自由办公宏，尽管我可能会删除它们，但我必须对其进行测试，看看它是否是我使用的。文件下载器和广告软件只是垃圾软件，但存在潜在风险。其他软件让我担心，因为它们被检测为木马。现在我有些担心的原因是：

：# ifconfig |grep inet
inet 10.0.0.58 网络掩码 255.0.0.0 广播 10.255.255.255
inet6 xxx 前缀长度 64 范围 ID 0x20
inet 127.0.0.1 网络掩码 255.0.0.0
inet6 ::1 前缀长度 128 范围 ID 0x10

现在我有了 suricata 作为 IDS，并且正在查看 fast.log

2020/11/12-11：42：30.052835 [] [1:2025331:3] ET POLICY 在 SNI 中观察到可能的外部 IP 查找域（ipinfo.io）[] [分类：检测到网络木马] [优先级：1] {TCP} 10.0.0.58:56692 -> 216.239.36.21:443

对 216.239.36.21 进行 whois 查询显示它是 Google 服务器，但我们不知道它是 Google 服务还是云服务的客户，或者是被入侵的服务器。访问该网站后，它似乎位于内容服务器上，因为它出现 404 错误，尝试使用 HTTPS 显示它无法提供安全连接。深入研究后，该文件似乎不是由软件包提供的。

dpkg -S /usr/share/javascript/jquery-ui/jquery-ui.min.js
libjs-jquery-ui: /usr/share/javascript/jquery-ui/jquery-ui.min.js

此时这是一个边界情况，因为有一个包提供了它，查看包显示它是从 Ubuntu 档案库中安装的

apt-cache 策略 libjs-jquery-ui libjs-jquery-ui：已安装：1.12.1+dfsg-5 候选版本：1.12.1+dfsg-5 版本表：*** 1.12.1+dfsg-5 500 500http://us.archive.ubuntu.com/ubuntufocal/universe amd64 软件包 500http://us.archive.ubuntu.com/ubuntufocal/universe i386 软件包 100 /var/lib/dpkg/status

现在我可以卸载该软件包并重新安装，然后再次扫描，看看它是否来自存储库。如果它来自存储库，那么我更倾向于误报。否则，如果它不是来自存储库，我更倾向于潜在威胁。

深入研究这个问题是如何进入系统的，首先我查看了我的防火墙

Chain OUTPUT (policy DROP)
target     prot opt source               destination         
KUBE-SERVICES  all  --  anywhere             anywhere             ctstate NEW /* kubernetes service portals */
KUBE-FIREWALL  all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     udp  --  anywhere             anywhere             udp dpt:443
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:https
ACCEPT     udp  --  anywhere             anywhere             udp dpt:80
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere             udp dpt:domain
ACCEPT     udp  --  anywhere             anywhere             udp dpt:8080
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:http-alt
ACCEPT     udp  --  anywhere             anywhere             udp dpt:8443
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:8443
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:67
ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootps
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:whois
ACCEPT     udp  --  anywhere             anywhere             udp dpt:43
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     icmp --  anywhere             anywhere  

Chain INPUT (policy DROP)
target     prot opt source               destination         
KUBE-SERVICES  all  --  anywhere             anywhere             ctstate NEW /* kubernetes service portals */
KUBE-EXTERNAL-SERVICES  all  --  anywhere             anywhere             ctstate NEW /* kubernetes externally-visible service portals */
KUBE-FIREWALL  all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere             state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere

经 Kali 扫描验证，显示所有端口均已过滤，因此我知道威胁不可能从任何来源进入我的系统，只能从允许访问我的系统的程序之一进入。现在 Chrome 和 Firefox 在用户空间中运行，因此它们不应访问该文件位置。这只剩下可以访问 HTTPS 端口的 apt。总而言之，我的第一个任务是将文件移动到另一个位置进行存储，通常是复制一份以记录它，然后卸载/重新安装该软件包并查看它是否再次被触发。

在这里，我将记录与 IP 地址关联的整个过程以及我做出这些决定的原因。这将是记录受感染系统的标准程序。在 SOC 中，此时您可能希望对整个磁盘进行映像处理，因为我对我的其他安全措施相当有信心，所以我将继续监控系统，以发现进一步受感染的迹象。

现在我遇到了系统错误弹出的问题，因此我开始倾向于在仔细备份后擦除整个系统并从头开始重新加载，这意味着 Windows 和 Linux 方面。

现在，如果我有一个活跃的 SIEM，我可能会将各种安全日志警告与基线关联起来，IE 按基线的共性排序，并将 IDS 日志中的此类安全事件与服务器日志关联起来。如果我得到报酬来调查它，我会走得更远，但这是我的工作站，我可以不使用一两个功能，只是不必深入挖掘。

因此，我继续上面的陈述

apt remove libjs-jquery-ui

然后

clamscan -r --bell --infected --detect-pua=yes --scan-elf=yes --scan-mail=yes --algorithmic-detection=yes --scan-pe=yes --scan-ole2=yes --scan-pdf=yes --scan-html=yes --scan-archive=yes --max-filesize=20000000 --max-scansize=20000000 /usr/share/javascript/

----------- SCAN SUMMARY -----------
Known viruses: 8964095
Engine version: 0.102.4
Scanned directories: 1619
Scanned files: 2733
Infected files: 0
Data scanned: 140.98 MB
Data read: 38.02 MB (ratio 3.71:1)
Time: 53.914 sec (0 m 53 s)

然后

rm -rf /directoriesToOtherFilesListedAsTrojan/

这两个目录包含其他 JS 文件，因此我将重新运行整个扫描，看看扫描期间的警报是否停止。它们是插件，所以我只是删除了整个目录，但如果它们位于系统位置，我可能会像删除 jquery 一样删除它们。

现在是时候再次安装并重新扫描了：

apt install  libjs-jquery-ui
Reading package lists... Done
Building dependency tree       
Reading state information... Done
The following packages were automatically installed and are no longer required:
  gir1.2-ges-1.0 libges-1.0-0 python-matplotlib-data python3-cycler python3-kiwisolver
Use 'sudo apt autoremove' to remove them.
Suggested packages:
  libjs-jquery-ui-docs
The following NEW packages will be installed:
  libjs-jquery-ui
0 upgraded, 1 newly installed, 0 to remove and 17 not upgraded


clamscan -r --bell --infected --detect-pua=yes --scan-elf=yes --scan-mail=yes --algorithmic-detection=yes --scan-pe=yes --scan-ole2=yes --scan-pdf=yes --scan-html=yes --scan-archive=yes --max-filesize=20000000 --max-scansize=20000000 /usr/share/javascript/
/usr/share/javascript/jquery-ui/jquery-ui.min.js: PUA.Win.Trojan.Generic-6888382-0 FOUND

----------- SCAN SUMMARY -----------
Known viruses: 8964095
Engine version: 0.102.4
Scanned directories: 1628
Scanned files: 3050
Infected files: 1
Data scanned: 146.57 MB
Data read: 39.68 MB (ratio 3.69:1)
Time: 55.278 sec (0 m 55 s)

所以这清楚地表明这里列出的库来自 ubuntu 存储库，现在我可以获得一个静态代码分析工具，我将使用 linter 来查看是否有任何非常明显的结果：

eslint usr/share/javascript/jquery-ui/jquery-ui.min.js|grep -v "缺少分号"

/usr/share/javascript/jquery-ui/jquery-ui.min.js
   1:47     error  'define' is not defined                                          no-undef
   1:58     error  'define' is not defined                                          no-undef
   1:93     error  'jQuery' is not defined                                          no-undef
   1:4240   error  Empty block statement                                            no-empty
   1:16358  error  Unnecessary escape character: \+                                 no-useless-escape
   1:16360  error  Unnecessary escape character: \-                                 no-useless-escape
   1:25753  error  'undefined' is defined but never used                            no-unused-vars
   1:26638  error  Unnecessary escape character: \-                                 no-useless-escape
   1:26888  error  Unnecessary escape character: \%                                 no-useless-escape
   1:26912  error  Unnecessary escape character: \%                                 no-useless-escape
   1:26936  error  Unnecessary escape character: \%                                 no-useless-escape
   1:27495  error  Unnecessary escape character: \%                                 no-useless-escape
   1:27519  error  Unnecessary escape character: \%                                 no-useless-escape
   2:1      error  Expected indentation of 1 tab but found 0                        indent
   2:1864   error  Empty block statement                                            no-empty
   2:2023   error  Empty block statement                                            no-empty
   3:1      error  Expected indentation of 1 tab but found 0                        indent
   3:36     error  Unnecessary escape character: \/                                 no-useless-escape
   3:22586  error  Unnecessary escape character: \-                                 no-useless-escape
   3:22588  error  Unnecessary escape character: \[                                 no-useless-escape
   3:22603  error  Unnecessary escape character: \^                                 no-useless-escape
   3:31806  error  Unnecessary escape character: \-                                 no-useless-escape
   3:31808  error  Unnecessary escape character: \[                                 no-useless-escape
   3:31823  error  Unnecessary escape character: \^                                 no-useless-escape
   4:1      error  Expected indentation of 1 tab but found 0                        indent
   4:16597  error  Unnecessary escape character: \-                                 no-useless-escape
   4:27742  error  Empty block statement                                            no-empty
   5:11073  error  Empty block statement                                            no-empty
   5:11243  error  Unnecessary escape character: \-                                 no-useless-escape
   5:22972  error  Unnecessary escape character: \-                                 no-useless-escape
   5:23036  error  Unnecessary escape character: \-                                 no-useless-escape
   5:25812  error  Unnecessary escape character: \-                                 no-useless-escape
   5:25866  error  Unnecessary escape character: \-                                 no-useless-escape
   6:1      error  Expected indentation of 1 tab but found 0                        indent
   7:1      error  Expected indentation of 1 tab but found 0                        indent
   9:7372   error  Unnecessary escape character: \-                                 no-useless-escape
  10:1      error  Expected indentation of 1 tab but found 0                        indent
  10:996    error  'Globalize' is not defined                                       no-undef
  10:1171   error  'Globalize' is not defined                                       no-undef
  10:3398   error  Empty block statement                                            no-empty
  10:3460   error  Empty block statement                                            no-empty
  10:7130   error  Unnecessary escape character: \/                                 no-useless-escape
  10:7139   error  Unnecessary escape character: \[                                 no-useless-escape
  10:7143   error  Unnecessary escape character: \^                                 no-useless-escape
  10:10481  error  Expected a conditional expression and instead saw an assignment  no-cond-assign
  10:20588  error  Expected a conditional expression and instead saw an assignment  no-cond-assign

✖ 1167 problems (1167 errors, 0 warnings)
  1127 errors, 0 warnings potentially fixable with the `--fix` option.

我会运行修复选项，看看是否有帮助，但这并不能修复检测问题。

这表明

cat usr/share/javascript/jquery-ui/jquery-ui.min.js |tail -n1 -c100
tooltipClass&&tooltipData.tooltip.addClass(this.options.tooltipClass),tooltipData}});$.ui.tooltip});root@master-node

这里的问题是，整个 js 文件的所有格式都被删除了，以试图混淆代码，仅凭这一点就应该删除该文件而不使用它。我将在这里给予 Ubuntu 团队信任，并假设这是一个误报，因为 linter 显示了常见且优先级较低的问题。一个例子是 - 转义，这非常常见，因为它在正则表达式中用于表示范围，例如 [a-zA-Z]，据我所知，它是正则表达式语句中的特殊字符，人们经常对其进行转义以确保万无一失。

答案3

一旦文件被标记为 PUA，只需将该文件上传到virustotal.com 即可更好地了解可能发生的情况。Virustotal 将针对大量引擎进行扫描，因此如果文件有问题，它很可能会清楚地显示出来。

相关内容