Un rootkit per kernel Linux

[sampei.nihira]

http://ipsecs.com/web/?p=277#more-277

[farbix89]

Il dibattito e gli eventuali test sono aperti

Le mie prime impressioni su una macchina di testing (Ubuntu 10.04,kernel vecchio,utente standard)

• in effetti nasconde file e cartelle di configurazione dell'utente,ma chiede per ogni cosa la password
  
  
• fa "sparire" dal task alcuni processi,ma non riesce a cancellarli (dopo due minuti tornano al loro posto)
  
  
• non riesce a effettuare il keystroke della tastiera..non accede al modulo forse per colpa del layout
  
  
• credo che manchi una completa escalation dei privilegi,perché root non viene nemmeno toccato ( si appoggia a sudo? )
  
  
• niente root,niente moduli del kernel modificati e caricati,ma soprattutto niente modulo nascosto
  
  
• Al riavvio è sparito tutto,non riesce a precaricarsi o a inserirsi da solo in autoavvio (strano non è necessario alcun permesso)

controllando i log del kernel e del sistema si riesce a tracciare ogni minima modifica "sospetta".

è bastato un copia-incolla e qualche CANC per eliminare questo "bacarozzo" (eufenismo ),insomma è troppo elementare per funzionare su distribuzioni Home-based,dove root è ingabbiato e sudo è un surrogato poco efficace per le cose che vuole fare il malware.

però è da provare su ambienti rootati di default (come i server),e verificare in ambienti IT-based per vedere se la minaccia è anche solo ipotetica.

Ora attivo root e provo a fare tutto da lì