[plamo:10223] Re: RootKit(Re:named運用時に作成される怪しいファイルについて)

[sho]

こんにちは、しょうじと申します。

In article of "[plamo:10221] Re: RootKit(Re:named運用時に作成される怪しいファイルについて)",
   yamaguch [01/06/18 11:03 JST] wrote :

yamaguch > 気が向いたのでちょっと探してみたら、installスクリプト
yamaguch > こそありませんでしたが、今回利用されたと思われる
yamaguch > ツールそのものは転がってました。

ついでに、これらの rootkit や各種有名どころのワームが
install されているかどうかチェックするツールっていうの
も転がってます。探せばすぐ見付かると思います。(^^;
# プラス、可能な限り削除するツールってのもあるようです。

当然ですが、これらのツール自体が危ない可能性もありますので、
もしご利用なさるなら、十分にご注意下さい。

なお、rootkit を放り込まれると、
asp, bindshell, z2, wted, rexedcs, sniffer, aliens, lkm, amd,
basename, biff, chfn, chsh, cron, date, du, dirname, echo,
egrep, env, find, fingerd, gpm, grep, su, ifconfig, inetd, 
identd, killall, login, ls, mail, mingetty, netstat, named,
passwd, pidof, pop2, pop3, ps, pstree, rpcinfo, rlogind, rshd,
slogin, sendmail, sshd, syslogd, tar, tcpd, top, telnetd, timed,
traceroute, write 
などが、軒並書き換えられる恐れがあります。

-- shoji