[stalk:00505] バックドアの隠し場所

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

こんにちは、Port139 伊原です。

一般的に？、CERT やセキュリティ関連の文書を見ていると、悪意のある
プログラムの発見方法に find を利用した方法が記述されています。
find 以外にも、Tripwire や AIDE といった整合性チェックツールを利用
する方法もありますが、どこをどのように集中的に探すべきか？という、
具体的な記述をあまり見かけません。

そこで、皆さんにお聞きしたいのですが、「悪意のあるプログラムを隠す
とすれば、どこ or どのように隠しますか？」
＃Subject にはバックドアと書いてしまいましたが...

OS で異なるとも思いますが、できれば OS にこだわらずにご意見をいただ
ければと考えています。

ちなみに、NT 系であれば

 -NTFS データストリーム(ADS）に隠す
 -tmp フォルダに隠す
 -IE のキャッシュフォルダにそれらしい名前で置く
 -WINNT の下に、WINS のテンポラリファイルっぽく置く
 -隠しファイル属性を付ける
 -ゴミ箱の中（SID を勝手に作ってゴミ箱らしくふるまう）

とかが思いつきます。

---

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　 インフォシーク株価に新機能登場！！【銘柄条件検索】ってなにもの？？　
  http://stock.infoseek.co.jp/Stock?pg=stock_top.html&sv=ST&svx=971122