[port139:00303] バックドアの隠し場所

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんにちは、Port139 伊原です。

stalk とのマルチポストです。
他のスレッドの、オフラインでの整合性チェックと関連してるんですが...

一般的に？、CERT やセキュリティ関連の文書を見ていると、悪意のある
プログラムの発見方法に find を利用した方法が記述されています。
find 以外にも、Tripwire や AIDE といった整合性チェックツールを利用
する方法もありますが、どこをどのように集中的に探すべきか？という、
具体的な記述をあまり見かけません。

そこで、皆さんにお聞きしたいのですが、「悪意のあるプログラムを隠す
とすれば、どこ or どのように隠しますか？」
＃Subject にはバックドアと書いてしまいましたが...

OS で異なるとも思いますが、できれば OS にこだわらずにご意見をいただ
ければと考えています。

ちなみに、NT 系であれば

 -NTFS データストリーム(ADS）に隠す
 -tmp フォルダに隠す
 -IE のキャッシュフォルダにそれらしい名前で置く
 -WINNT の下に、WINS のテンポラリファイルっぽく置く
 -隠しファイル属性を付ける
 -ゴミ箱の中（SID を勝手に作ってゴミ箱らしくふるまう）

とかが思いつきます。

---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/