URL: https://linuxfr.org/forums/linux-general/posts/alerte-au-trojan Title: Alerte au Trojan !!! Authors: Guillaume Bour Date: 2005年02月04日T19:18:56+01:00 Tags: Score: 0 Le sondage actuel ([http://linuxfr.org/poll/send,100.html(...)](http://linuxfr.org/poll/send,100.html)) est (malheureusement) d'actualité pour moi. J'exécute tous les soirs, sur mon serveur maison, le programme **chkrootkit** ([http://www.chkrootkit.org(...)](http://www.chkrootkit.org)) (qui permet de détecter les rootkits et autres trojans, du moins certains). Ce matin, en regardant mes logs, j'ai eu la frayeur de voir qu'il m'en avait trouvé un: **LKM** (Linux Kernel Module). Après avoir repris mes esprits, j'ai quelque peut investigé: 'chkrootkit' utilise un programme de son cru (**chkproc**) qui compare la sortie de la commandes 'ps' avec le contenu de /proc pour voir si certains processus ne seraient pas dissimulés. En l'exécutant directement, dans une boucle, il me trouve effectivement des processus cachés, mais uniquement de temps en temps. Ce qui me rassure, c'est: - que je l'ai également exécuté sur ma machine au boulot, et idem, il me trouve des processus cachés (et je ne pense pas que celle-ci puissent être rootkitée), - j'utilise parallèlement un autre chasseur de rootkits, rkhunter ([http://www.rootkit.nl/rss/rootkitnews.xml(...)](http://www.rootkit.nl/rss/rootkitnews.xml)), qui lui n'a rien trouvé, - sur le site de chkrootkit, il précisent que chkproc peut retourner des faux positifs (si des processus sont créés et détruits lors de l'exécution du programme). Alors, qu'en pensent les experts en sécurité? Avez-vous déjà été confronté à ce problème ? Devrais-je réinstaller mon serveur ?