WCM Forum - Rootkit LKM

WCM Forum (http://www.wcm.at/forum/index.php)

- Linux, UNIX, Open Source (http://www.wcm.at/forum/forumdisplay.php?f=13)

- - Rootkit LKM (http://www.wcm.at/forum/showthread.php?t=144801)

chkrootkit meldet bei mir, abhängig der geöffneten Programme:

Code:

ROOTDIR is `/'

Checking `lkm'... You have    16 process hidden for readdir command

You have    16 process hidden for ps command

Warning: Possible LKM Trojan installed

Dies ist während laufendem X und mozilla. Beende ich X komplett, dann meldet chkrootkit keine versteckten Prozesse.

Ich hab von der Möglichkeit gehört, jede einzelne Prozess-ID mit denen im /proc Verzeichnis zu vergleichen, wobei mögliche Unterschiede dann die vermeintlich schädlichen Prozesse sein sollen.

rkhunter meldet hingegen keine Probleme.
Wie zuverlässig ist chkrootkit überhaupt, denn ein versteckter Prozess hat ja nicht unbedingt was mit Trojanern zu tun ?

Thx

chkrootkit meldet jede Auffälligkeit im System. Wenn diese Meldung erscheint, muss noch lange kein LKM Rootkit installiert sein. Es steht ja auch nur "Possible" davor.

Bei den alten Cobalt RaQ Server erscheint auch die LKM Meldung, da die Adminoberfläche einige versteckte Prozesse verwendet. Ich würde das ganze daher bei deiner jetzigen Konfiguration ignorieren.