[port139:01068] LKM ROOTKIT

[DANNA <danna@xxxxxxxxxxx>]

ども。犬のみっきーです。

もうすっかりオフトピックなんですけど、ほじくり返させてください。

さっき chkrootkit-0.35 のソース見てて気がついたんですが、knark っ
て /proc/knark って隠しディレクトリ作るんですね。

という訳で0.35から一部のlkmにも対応できるようになりました。もちろ
ん完璧じゃないですが。

〜〜〜〜〜〜〜

# ls /proc/knark
Creed      files      nethides   pids       redirects
# more /proc/knark/Creed
* * * * * * * * * * * * * * * * * * * * * * * * * *
*               knark v0.50 by Creed              *
*                                                 *
* email:  creed@xxxxxxxxxx                        *
* ircnet: #linux.se, #hack.se                     *
* efnet:  #hack.se                                *
*                                                 *
* This program may NOT be used in an illegal way  *
*        or to cause damage of any kind.          *
* * * * * * * * * * * * * * * * * * * * * * * * * *
# more /proc/knark/files
HIDDEN FILES

〜〜〜〜〜〜〜

strings.c (thanks to Sean D. True) 
new tests: ldsopreload and lsof; 
new ports added to the bindshell test; 
new rootkits and trojans detected: 
RST.b trojan; 
duarawkz; (thanks to Leif Neland) 
knark LKM; 
Monkit; 
Bobkit; (thanks to m0xx) 
Pizdakit; (thanks to Kaveh Goudarzi) 
HiDrootkit; 
t0rn v8.0 (new variant). (thanks to Bob Grabowsky and Mihai Sandu) 


>--------- みっきーのネットワーク研究所 ---------<
>  DANNA @ SAPOSEN                               <
>  MAIL : danna@xxxxxxxxxxx                      <
>  HP   : http://www.hawkeye.ac/micky            <
>  PGP  : http://www.hawkeye.ac/micky/micky.pub  <
>------------------------------------------------<