por algum tempo, o chkrootkit tem mostrado o sbin / init como infectado pelo SuckIt rootkit. no início deste ano, quando o aviso apareceu pela primeira vez, uma rápida pesquisa no Google indicou que era provavelmente um falso positivo.
Eu fiz uma checagem novamente hoje e novamente chkrootkit diz que o sbin / init está infectado.
Alguns artigos sugeriram que se poderia verificar sbin / init com RPM.
instalei o rpm e tentei o comando:
rpm -qf /sbin/init
e ele retornou:
file /sbin/init is not owned by any package
Eu também li em algum lugar que / sbin / init é suposto ser um syslink (embora isso seja para uma distro diferente) e no meu sistema / sbin / init parece ser um arquivo executável.
o comando
ls -l /sbin/init
retorna o seguinte:
-rwxr-xr-x 2 root root 252080 Jul 18 15:18 /sbin/init
existe mesmo assim eu poderia verificar se / sbin / init não foi realmente infectado?
Estou executando o Ubuntu 14.04 LTS no meu laptop (não conectado em uma lan)
obrigado.
EDITAR:
eu instalei e executei o rkhunter
o seu check-in contra o rootkit "SuckIt" foi negativo, no entanto, mais tarde foi relatado:
Performing additional rootkit checks
Suckit Rookit additional checks [ Warning ]
e
Checking the local host...
Performing system boot checks
**Checking for local host name [ Found ]
Checking for system startup files [ Found ]**
Checking system startup files for malware [ None found ]
Performing group and account checks
**Checking for passwd file [ Found ]**
Checking for root equivalent (UID 0) accounts [ None found ]
Checking for passwordless accounts [ None found ]
Checking for passwd file changes [ None found ]
Checking for group file changes [ None found ]
Checking root account shell history files [ None found ]
Performing system configuration file checks
**Checking for SSH configuration file [ Not found ]
Checking for running syslog daemon [ Found ]**
Checking for syslog configuration file [ Found ]
Checking if syslog remote logging is allowed [ Not allowed ]
Performing filesystem checks
Checking /dev for suspicious file types [ Warning ]
Checking for hidden files and directories [ Warning ]
Rootkit checks...
Rootkits checked : 292
Possible rootkits: 1
Rootkit names : Suckit Rookit (additional checks)
Eu deveria estar preocupado?
ATUALIZAÇÃO:
Depois de olhar para o log Rkhunter eu descobri que a razão que tem sido um alerta contra uma possível infecção por suckits foi porque havia mais de um hard links para / sbin / init, que foi o meu próprio fazer. depois de remover o link rígido adicional rkhunter relata um sistema limpo.
Então, basicamente, é apenas chkrootkit relatando infecção por Suckit, que é um possível falso positivo.