Re: Resultado de chkrootkit sospechoso

[Ronald Urbano <ronald@cyberline.com.pe>]

Si pruebas con el rkhunter y lo ejecutas asi  :
# rkhunter - c --createlogfile  archivo.log

buscas luego en archivo.log la ruta de los posibles infectados;  Lo 
primero seria borrar los mismos, que de seguro no se querran borrar pq 
tienen permisos especiales, si es así, prueba quitandolos con un "chattr 
-ai  file_infectado" de ahi te dejará borrarlos.

Seguramente el "ps" , el "top" "netstat" y algunos otros estan 
reemplazados, asi que no te mostrara todos los procesos reales, mejor si 
los reemplazas por ejecutables confiables de otro sistema.

Sin embargo te recomiendo ir instalando otro sistema ya que si has sido 
vulnerado nunca se sabe si te han dejado algo corriendo y q el rkhunter 
o chkrrotkit no te lo detectan, estos detectres de rootkit buscan en 
rutas especificas y cabe la posibilidad q te hayan dejado algo en otras 
ubicaciones.

Atte.

Ronald -



Pedro Jose Martin Cano escribió:
> ¿Cómo los testeo?
>
> Gracias
>
> Miguel Da Silva - Centro de Matemática escribió:
>   
> > Pedro Jose Martin Cano wrote:
> >     
> > > Realizando un análisis con chkrootkit ha detectado esto, y estoy
> > > realmente preocupado:
> > >
> > > eth1: PACKET SNIFFER(/sbin/dhclient3[3063])
> > > Checking `lkm'... You have     2 process hidden for readdir command
> > > You have     2 process hidden for ps command
> > > chkproc: Warning: Possible LKM Trojan installed
> > > Searching for suspicious files and dirs, it may take a while...
> > > /usr/lib/xulrunner/.autoreg
> > > /usr/lib/jvm/java-1.5.0-sun-1.5.0.10/.systemPrefs
> > > /usr/lib/jvm/.java-1.5.0-sun.jinfo
> > > /usr/lib/iceweasel/.autoreg
> > > /usr/lib/eclipse/plugins/org.eclipse.platform.source_3.2.1.r321_v20060921-MGDh_08KUYM-Bvn/src/org.eclipse.ui.intro_3.2.1.R321_v20060810/.options
> > >
> > > /usr/lib/eclipse/plugins/org.eclipse.platform.source_3.2.1.r321_v20060921-MGDh_08KUYM-Bvn/src/org.eclipse.ui.intro.universal_3.2.1.R321_v20060905/.options
> > >
> > > /usr/lib/eclipse/plugins/org.eclipse.pde.build_3.2.1.r321_v20060823/.options
> > >
> > > /usr/lib/eclipse/plugins/org.eclipse.help.webapp_3.2.1.R321_v20060803/.options
> > >
> > > /usr/lib/eclipse/plugins/org.eclipse.ui.intro.universal_3.2.1.R321_v20060905/.options
> > >
> > > /usr/lib/eclipse/.eclipseproduct
> > > /lib/init/rw/.ramfs
> > >
> > > Tendré un el troyano ese instalado? ¿Como puedo ver los procesos
> > > ocultos? Aparte de los plugins de eclipse, le veis algo sospechoso a
> > > esos archivos?
> > >
> > >
> > >       
> > Chequeaste estos archivos?
> >
> > /usr/lib/xulrunner/.autoreg
> > /lib/init/rw/.ramfs
> > /usr/lib/iceweasel/.autoreg
> >
> > Para los procesos no sé si ps te ayudaría, pero sería buena idea
> > probar con eso.
> >
> > Saludos.
> >     
>
>
>