Re: chkrootkit meldung auf debian etch mit backports

[Uwe Walter <lists@warp-factor.de>]

Am Mittwoch, den 02.07.2008, 08:47 +0200 schrieb Peter Jordan:
> Hallo,
Hallo.


> /etc/cron.daily/chkrootkit:
> The following suspicious files and directories were found:
> /lib/init/rw/.mdadm
> /lib/init/rw/.ramfs
> /lib/init/rw/.mdadm
> You have     2 process hidden for readdir command
> You have     2 process hidden for ps command
> chkproc: Warning: Possible LKM Trojan installed

Das ist in der Tat eine sehr beliebte chkrootkit Falschmeldung. Die habe
die auch des öfteren. chkrootkit meldet mir sogar, dass mein Postfix am
Port 465 (SMTPS) ein Trojaner sei.

rkhunter macht das im Übrigen auch nicht besser, aber wenigstens
schreibt er in die Meldung in die Mail mit rein, dass dies eine
Falschmeldung sein könnte, weil er möglicherweise mit der Architektur
nicht vollständig kompatibel sei.

Ich gehe einfach mal davon aus, dass an diesen Dingern nicht mehr weiter
entwickelt wird und die einfach nur auf einem zu alten Stand sind.

-- 
Freundliche Grüße
Uwe Walter