Re: Infection supposee LKM Trojan: besoin d'aide.
Bonjour et merci de vos reponses si promptes,
> De même, 4 processus non listés dans ps. Par contre, j'ai aussi 4
> processus avec un PID de 0 dans ps aux :
>
> root 3 0.0 0.0 0 0 ? SW Nov01 0:00 [kapmd]
> root 0 0.0 0.0 0 0 ? SWN Nov01 0:00 [ksoftirqd_CPU0]
> root 0 0.0 0.0 0 0 ? SW Nov01 0:10 [kswapd]
> root 0 0.0 0.0 0 0 ? SW Nov01 0:00 [bdflush]
> root 0 0.0 0.0 0 0 ? SW Nov01 0:00 [kupdated]
>
> A mettre en rapport avec les processus 4, 5, 6 et 7 que chkrootkit se
> plaint de ne pas voir...
> Je suis à peu près sûr de ne pas être infecté, je fais attention à ce
> qui tourne, en faisant un nmap j'ai rien de plus que d'habitude,
> netstat et lsof ne me donnent rien d'anormal.
OK ca marche: c'est pareil pour moi avec un ps aux.
Tout ce que tu dis me semble tres coherent.
Et je t'avoue que ca me rassure ;)
Moi qui avait deja tout sauvegarde en vue d'une eventuelle re-install
(ca m'a permis au moins de faire un peu de menage).
De plus j'ai renouvele l'experience en lancant le compte de mon amie
sous gnome et il s'avere que le proc qui bouffait des ressources n'etait
rien d'autre que l'xscreen-saver. Ceci explique cela.
Malgre tout, pourrait-on savoir pourquoi donc ces 4 process
(ksoftirqd_CPU0, kswapd, bdflush, kupdated)
ne se voient pas attribuer de pid.
Sur ma debian/stable (ma passerelle) il n'y pas ce genre de problemes:
----------------------------------
root 3 0.0 0.0 0 0 ? SWN 17:52 0:00 [ksoftirqd_CPU0]
root 4 0.0 0.0 0 0 ? SW 17:52 0:00 [kswapd]
root 5 0.0 0.0 0 0 ? SW 17:52 0:00 [bdflush]
root 6 0.0 0.0 0 0 ? SW 17:52 0:00 [kupdated]
Pourquoi donc ? Un bug dans la version instable ?
D'ailleurs je me rappelle avoir remarque avec interet ce kupdated
lors de l'install du noyau 2.4.18 en saveur bf24 (a partir du CD).
Il me prenait un max de ressource lors de copies de fichiers de taille
importante (plusieurs centaine de MO) et du coup cela ralentissait
considerablement le temps de copie de ces fichiers.
Avec la recompilation et l'optimisation d'un nouveau noyau,
ce probleme a disparu.
Merci d'eclairer ma lanterne bien pale.
Cordialement.
J.C
Reply to: