URL: https://linuxfr.org/news/infection-par-rootkit-sshd-spam-sur-des-serveurs-rhel-centos Title: Infection par rootkit « SSHd Spam » sur des serveurs RHEL/CentOS Authors: RbN Benoît Sibaud, Nils Ratusznik, apkwa, gilles renault et Xavier Teyssier Date: 2013年02月22日T09:08:20+01:00 License: CC By-SA Tags: Score: 42 Lundi 18 février a été le jour de la découverte de ce rootkit ayant apparemment infecté un certain nombre de serveurs sous RHEL/CentOS. Des rumeurs font également état de serveurs touchés sous Debian. ---- [Détails sur le rootkit](http://blog.solidshellsecurity.com/2013/02/18/0day-linuxcentos-sshd-spam-exploit-libkeyutils-so-1-9/) [Une autre analyse](http://www.webhostingtalk.com/showpost.php?p=8566703&postcount=845) [Le début du sujet sur le même forum, avec mises à jour d'informations](http://www.webhostingtalk.com/showthread.php?t=1235797) [Faille dans le noyau Linux inférieur à 3.7.5](https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-0871) ---- Afin de vérifier si ce rootkit vous a infecté, cherchez si un fichier libkeyutils.so.1.9 est présent dans votre arborescence. Une procédure de désinfection (NdM : attention des fichiers libkeyutils.so* peuvent légitimement être présents ([1](http://packages.debian.org/search?suite=sid&arch=any&mode=filename&searchon=contents&keywords=libkeyutils.so) ou [2](http://fr.rpmfind.net/linux/rpm2html/search.php?query=libkeyutils.so.1)) sur votre système, assurez-vous de comprendre ce que vous faites avant de supprimer ou remplacer des bibliothèques dynamiques .so) : ```sh rm /lib64/libkeyutils.so.1.9 /lib64/libkeyutils.so.1 ln -sf /lib64/libkeyutils-1.3.so /lib64/libkeyutils.so.1 sync echo 'b'> /proc/sysrq-trigger # simulate a hard powercut to ensure the rootkit cannot reroot if it's memory resident. ``` Le vecteur de l'attaque n'est pour le moment pas connu, il semblerait que le démon SSHd seul soit suffisant pour se faire infecter, quel que soit son port d'écoute. Le but de ce rootkit est de réaliser de l'envoi de spam, et il est supposément développé par le [Russian Business Network](http://en.wikipedia.org/wiki/Russian_Business_Network).