après une petite sieste de 3 heures, je m'attaque au pb :)
Reponse en vrac au question : mon sys et une debian Woody, donc je pense reinstaller fileutils et modutils tt simplement.
Pour le réseau, tt les ports sont ouvert mais comme le dit qq'un au dessus, l'important c'est les deamons qui tournaient. Et la, surprise, j'avais un seti en marche, et une version connue pour etre percée et permettre un acces distant (par contre comment il a fait pour passer root...). Donc c'est de ma faute.
/me se slap avec des orties.
j'ai trouvé un petit utilitaire fort sympatique, chkrootkit, qui permet de scanner le sys a la recherche de la trace de rootkit connues.
pareil avec netstat et ps, ils ouvrent un include peu conventionnel (hosts.h et proc.h). Ces derniers contiennent des liste de fichiers, process et host à masquer par les utilitaires infectés. Je mettrai ces fichier sur ma page web pour info si ca interresse du monde.
Un truc qui me chagrine, c'est la ligne "Checking `lkm'... You have 79 process hidden for ps command". Pour rappel, un LKM (Linux Kernel Module) qui permet (par exemple) de masquer certain fichier, dissimuler des processus, sniffer...
C'est quasi impossible a demasquer, mais il existe un outil : kstat qui explore /dev/kmem (www.s0ftpj.org/en/tools.html ). Mais il faut le compiler sur un systeme non infecté.
Donc je m'en vais analyser tt ça à partir d'une knoppix.
# Re: J'ai l'impression qu'on est rentré chez moi sans ma permission...
Posté par LeMagicien Garcimore . En réponse au journal J'ai l'impression qu'on est rentré chez moi sans ma permission.... Évalué à 4.
après une petite sieste de 3 heures, je m'attaque au pb :)
Reponse en vrac au question : mon sys et une debian Woody, donc je pense reinstaller fileutils et modutils tt simplement.
Pour le réseau, tt les ports sont ouvert mais comme le dit qq'un au dessus, l'important c'est les deamons qui tournaient. Et la, surprise, j'avais un seti en marche, et une version connue pour etre percée et permettre un acces distant (par contre comment il a fait pour passer root...). Donc c'est de ma faute.
/me se slap avec des orties.
j'ai trouvé un petit utilitaire fort sympatique, chkrootkit, qui permet de scanner le sys a la recherche de la trace de rootkit connues.
voila le log :
http://garcimore1.free.fr/rootkit_03052003/chkrootkit.log(...)
il est pas parfait, par exemple il n'a pas remarqué que ps etait inffecté.
Et il l'est :
fopen("/usr/include/file.h", "r") = 0x08052cd8
/dev/null
+++ exited (status 0) +++
pareil avec netstat et ps, ils ouvrent un include peu conventionnel (hosts.h et proc.h). Ces derniers contiennent des liste de fichiers, process et host à masquer par les utilitaires infectés. Je mettrai ces fichier sur ma page web pour info si ca interresse du monde.
Un truc qui me chagrine, c'est la ligne "Checking `lkm'... You have 79 process hidden for ps command". Pour rappel, un LKM (Linux Kernel Module) qui permet (par exemple) de masquer certain fichier, dissimuler des processus, sniffer...
C'est quasi impossible a demasquer, mais il existe un outil : kstat qui explore /dev/kmem (www.s0ftpj.org/en/tools.html ). Mais il faut le compiler sur un systeme non infecté.
Donc je m'en vais analyser tt ça à partir d'une knoppix.
Avant de partir, un lien bien sympa : http://www.certa.ssi.gouv.fr/site/CERTA-2002-INF-003/index.html.2.h(...)