Re: lkm rootkit

[Esa Turtiainen <etu@dna.fi>]

Sain samantyyppisen ilmoituksen.  Verkosta löytyi
viittaus http://bugs.debian.org/222179:

That's a bug in chkrootkit. With the latest glibc and 2.6 kernel, the
threading model has changed. Threads no longer show up as individual
processes. Chkrootkit should be updated to work with the latest glibc
and 2.6 kernel (i.e. it should check /proc/<pid>/task too)

	Esa

Tuija wrote:

> Iltaa Kaikille :-)
>
> Chkrootkit löysi kummastakin Sarge systeemistäni:
> Checking `lkm'... You have     3 process hidden for readdir command
> You have     3 process hidden for ps command
> Warning: Possible LKM Trojan installed
>
> Erityisesti tämän läppärin osalta tuo kummastuttaa,
> kun tämä useita kertoja päivässä suljettunakin.
> Ja tuo pidempään, päivän kerrallaan idlaava
> sisäverkon serveri jossa on sshd ajossa,
> on sekin rautamuurin takana maailmalta.
>
> Jonkinlaisen bugin mahdollisuudestakin luin?
> Onko mitään keinoa luetettavasti selvittää
> onko systeemeissäni rootkit vai ei?
> Vai onko vain viisainta formatoida levyt?
> Kumpaankin on asennettu ohjelmia vain
> debianin testingistä.
>
> t.Tuija
>
>
>
>