Si pruebas con el rkhunter y lo ejecutas asi :
# rkhunter - c --createlogfile archivo.log
buscas luego en archivo.log la ruta de los posibles infectados; Lo
primero seria borrar los mismos, que de seguro no se querran borrar pq
tienen permisos especiales, si es así, prueba quitandolos con un "chattr
-ai file_infectado" de ahi te dejará borrarlos.
Seguramente el "ps" , el "top" "netstat" y algunos otros estan
reemplazados, asi que no te mostrara todos los procesos reales, mejor si
los reemplazas por ejecutables confiables de otro sistema.
Sin embargo te recomiendo ir instalando otro sistema ya que si has sido
vulnerado nunca se sabe si te han dejado algo corriendo y q el rkhunter
o chkrrotkit no te lo detectan, estos detectres de rootkit buscan en
rutas especificas y cabe la posibilidad q te hayan dejado algo en otras
ubicaciones.
Atte.
Ronald -
Pedro Jose Martin Cano escribió:
¿Cómo los testeo?
Gracias
Miguel Da Silva - Centro de Matemática escribió:
Pedro Jose Martin Cano wrote:
Realizando un análisis con chkrootkit ha detectado esto, y estoy
realmente preocupado:
eth1: PACKET SNIFFER(/sbin/dhclient3[3063])
Checking `lkm'... You have 2 process hidden for readdir command
You have 2 process hidden for ps command
chkproc: Warning: Possible LKM Trojan installed
Searching for suspicious files and dirs, it may take a while...
/usr/lib/xulrunner/.autoreg
/usr/lib/jvm/java-1.5.0-sun-1.5.0.10/.systemPrefs
/usr/lib/jvm/.java-1.5.0-sun.jinfo
/usr/lib/iceweasel/.autoreg
/usr/lib/eclipse/plugins/org.eclipse.platform.source_3.2.1.r321_v20060921-MGDh_08KUYM-Bvn/src/org.eclipse.ui.intro_3.2.1.R321_v20060810/.options
/usr/lib/eclipse/plugins/org.eclipse.platform.source_3.2.1.r321_v20060921-MGDh_08KUYM-Bvn/src/org.eclipse.ui.intro.universal_3.2.1.R321_v20060905/.options
/usr/lib/eclipse/plugins/org.eclipse.pde.build_3.2.1.r321_v20060823/.options
/usr/lib/eclipse/plugins/org.eclipse.help.webapp_3.2.1.R321_v20060803/.options
/usr/lib/eclipse/plugins/org.eclipse.ui.intro.universal_3.2.1.R321_v20060905/.options
/usr/lib/eclipse/.eclipseproduct
/lib/init/rw/.ramfs
Tendré un el troyano ese instalado? ¿Como puedo ver los procesos
ocultos? Aparte de los plugins de eclipse, le veis algo sospechoso a
esos archivos?
Chequeaste estos archivos?
/usr/lib/xulrunner/.autoreg
/lib/init/rw/.ramfs
/usr/lib/iceweasel/.autoreg
Para los procesos no sé si ps te ayudaría, pero sería buena idea
probar con eso.
Saludos.
--
To UNSUBSCRIBE, email to [EMAIL PROTECTED]
with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
