O que exatamente é /lib/modules/4.4.0-XX-generic/vdso/.build-id

Question

Eu fiz uma pesquisa de rootkit com o chkrootkit e surgiu esse estranho conjunto de arquivos:

/usr/lib/debug/.build-id 
/lib/modules/4.4.0-51-generic/vdso/.build-id 
/lib/modules/4.4.0-47-generic/vdso/.build-id 
/lib/modules/4.4.0-38-generic/vdso/.build-id 
/lib/modules/4.4.0-36-generic/vdso/.build-id 
/lib/modules/4.4.0-45-generic/vdso/.build-id
/usr/lib/debug/.build-id 
/lib/modules/4.4.0-51-generic/vdso/.build-id 
/lib/modules/4.4.0-47-generic/vdso/.build-id 
/lib/modules/4.4.0-38-generic/vdso/.build-id 
/lib/modules/4.4.0-36-generic/vdso/.build-id 
/lib/modules/4.4.0-45-generic/vdso/.build-id

O que exatamente são esses? Tenho certeza de que todos são falsos positivos, mas ainda não sei o que são e por que estão lá. Eu fiz um pouco de pesquisa e parece que estas são imagens do kernel deixadas para trás de atualizações anteriores.

Então, por que eles estão desencadeando um falso positivo e como me livrar deles?

    

Answer 1

/lib/modules/ é o diretório para armazenar os módulos. O próximo bit (com os dígitos) é o número do kernel ao qual estes módulos pertencem.

vdso no nome do módulo (representa virtual dynamic shared object ). Seu sistema faz muitas "chamadas de sistema" (como ler e gravar em disco, conceder permissões, etc) e ocupa muitos recursos para executar cada uma delas. Mas essas chamadas também são feitas muito. O módulo vdso foi criado para ajudar a melhorar o tempo necessário alocando memória para eles.

De wikipedia :

% bl0ck_qu0te%

Mais algumas informações sobre isso:

• gitbooks: parte 1 , part 2 , parte 3 tudo sobre as chamadas do sistema. A parte 2 é sobre "vdso" e "vsyscall".

% bl0ck_qu0te%

Provavelmente (como 99,99999% de todos os avisos de rootkits;)), mas você provavelmente precisará comparar esses arquivos com um sistema limpo e verificar coisas como tamanho do arquivo, tempos de última modificação para verificar visualmente se isso é um falso positivo.

A propósito: o diretório /lib/modules/ pode ficar grande rapidamente. É seguro remover kernels antigos (salvar o atual e o próximo menos antigo apenas para garantir que você tenha um backup). Veja: Como faço para remover versões antigas do kernel para limpar o menu de inicialização?

Remover a versão mais antiga também reduz a quantidade de avisos do seu rootkit;)