BandaAncha

  • 🔍 en 📰 artículos ⏎
  • 🔍 en 💬 foros ⏎
  • 🔍 en 👇 este 💬 foro ⏎
  • 🔍 en 👇 este 💬 tema ⏎
Regístrate Regístrate Identifícate Identifícate

¿me habran juankeado?

aztunmaka

hola, antes de nada perdon por repetir este post en el foro de linux y en este, pero no estaba seguro en cual encajaria mejor.

hoy haciendo la revision habitual a uno de mis server pa asegurarme q no habia ninguna actualizacion de seguridad q no hubiese instalado se me ha ocurrido pasar el chkrootkit (utilidad para encontrar rootkits en tu maquina) y me he llevado un pequeño susto

[root@lepetika chkrootkit-0.45]# ./chkrootkit -x lkm
ROOTDIR is `/'
###
### Output of: ./chkproc -v -v -p 1
###
PID 5241(/proc/5241): not in readdir output
PID 5241: not in ps output
CWD 5241: /var/lib/mysql
EXE 5241: /usr/sbin/mysqld
PID 5242(/proc/5242): not in readdir output
PID 5242: not in ps output
CWD 5242: /var/lib/mysql
EXE 5242: /usr/sbin/mysqld
PID 5243(/proc/5243): not in readdir output
PID 5243: not in ps output
CWD 5243: /var/lib/mysql
EXE 5243: /usr/sbin/mysqld
PID 5244(/proc/5244): not in readdir output
PID 5244: not in ps output
CWD 5244: /var/lib/mysql
EXE 5244: /usr/sbin/mysqld
PID 5245(/proc/5245): not in readdir output
PID 5245: not in ps output
CWD 5245: /var/lib/mysql
EXE 5245: /usr/sbin/mysqld
PID 5246(/proc/5246): not in readdir output
PID 5246: not in ps output
CWD 5246: /var/lib/mysql
EXE 5246: /usr/sbin/mysqld
PID 5247(/proc/5247): not in readdir output
PID 5247: not in ps output
CWD 5247: /var/lib/mysql
EXE 5247: /usr/sbin/mysqld
PID 5248(/proc/524: not in readdir output
PID 5248: not in ps output
CWD 5248: /var/lib/mysql
EXE 5248: /usr/sbin/mysqld
You have 8 process hidden for readdir command
You have 8 process hidden for ps command
[root@lepetika chkrootkit-0.45]#

investigando un poco por google he leido que a veces el chkrootkit da falsos positivos y probando probando he descubierto q si paro los procesos del apache y mysqld el chkrootkit deja de quejarse, vamos q no encuentra ningun proceso oculto:

[root@lepetika chkrootkit-0.45]# /etc/init.d/httpd stop
Shutting down httpd2: [ OK ]
[root@lepetika chkrootkit-0.45]# /etc/init.d/mysql stop
Deteniendo servidor MySQL
(pid 5240) [ OK ]
[root@lepetika chkrootkit-0.45]# ./chkrootkit -x lkm
ROOTDIR is `/'
###
### Output of: ./chkproc -v -v -p 1
###
[root@lepetika chkrootkit-0.45]#

¿¿sabeis si existe algun rootkit que pueda estar "asociado", por decirlo de alguna manera, a los procesos del apache o el mysql y por eso cuando los arranco el chkrootkit detecta algo raro?? ¿¿o alguien puede darme una explicacion logica de por qué el chkrootkit da esos falsos positivos (ojala xDD) y asi pueda dormir mas tranquilo??

un saludo y gracias de antemano

👁 443
Este tema está cerrado a nuevas respuestas. Abre un nuevo tema para retomar la conversación.