LKM Trojans in chkrootkit?

[chtekk]

Hallo! Ich hatte gestern die neue chkrootkit version (0.43) auf meinem Server eingespielt und durchlaufenlassen, Sie fand nichts! Zusätzlich wird chkrootkit durch einen Cronjob jede Nacht gestartet und der Output mir gesendet, der sah dann so aus:

Code: Select all

ROOTDIR is `/'
Checking `amd'... not found
Checking `basename'... not infected
Checking `biff'... not found
Checking `chfn'... not infected
Checking `chsh'... not infected
Checking `cron'... not infected
Checking `date'... not infected
Checking `du'... not infected
Checking `dirname'... not infected
Checking `echo'... not infected
Checking `egrep'... not infected
Checking `env'... not infected
Checking `find'... not infected
Checking `fingerd'... not found
Checking `gpm'... not infected
Checking `grep'... not infected
Checking `hdparm'... not infected
Checking `su'... not infected
Checking `ifconfig'... not infected
Checking `inetd'... not infected
Checking `inetdconf'... not infected
Checking `identd'... not found
Checking `init'... not infected
Checking `killall'... not infected
Checking `ldsopreload'... not infected
Checking `login'... not infected
Checking `ls'... not infected
Checking `lsof'... not infected
Checking `mail'... not infected
Checking `mingetty'... not infected
Checking `netstat'... not infected
Checking `named'... not found
Checking `passwd'... not infected
Checking `pidof'... not infected
Checking `pop2'... not found
Checking `pop3'... not found
Checking `ps'... not infected
Checking `pstree'... not infected
Checking `rpcinfo'... not infected
Checking `rlogind'... not found
Checking `rshd'... not found
Checking `slogin'... not infected
Checking `sendmail'... not infected
Checking `sshd'... not infected
Checking `syslogd'... not infected
Checking `tar'... not infected
Checking `tcpd'... not infected
Checking `tcpdump'... not infected
Checking `top'... not infected
Checking `telnetd'... not found
Checking `timed'... not found
Checking `traceroute'... not infected
Checking `vdir'... not infected
Checking `w'... not infected
Checking `write'... not infected
Checking `aliens'... no suspect files
Searching for sniffer's logs, it may take a while... nothing found
Searching for HiDrootkit's default dir... nothing found
Searching for t0rn's default files and dirs... nothing found
Searching for t0rn's v8 defaults... nothing found
Searching for Lion Worm default files and dirs... nothing found
Searching for RSHA's default files and dir... nothing found
Searching for RH-Sharpe's default files... nothing found
Searching for Ambient's rootkit (ark) default files and dirs... nothing found
Searching for suspicious files and dirs, it may take a while... 
/usr/lib/perl5/5.8.0/i586-linux-thread-multi/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Cyrus/IMAP/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Cyrus/SIEVE/managesieve/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/HTML/Tagset/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/HTML/Parser/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Tie/IxHash/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/URI/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/libwww-perl/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/DBI/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/DBD/ODBC/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Msql-Mysql-modules/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Logfile/Rotate/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Compress/Zlib/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/IO-stringy/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/TimeDate/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Mail/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Mail/Sender/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Mail/POP3Client/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/MIME-tools/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Net/DNS/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Net/SSLeay/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Net/SNMP/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Proc/ProcessTable/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Term/ReadKey/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/IO/Stty/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/IO/Tty/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Expect/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Archive/Tar/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Archive/Zip/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Convert/TNEF/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Convert/UUlib/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Digest/SHA1/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Digest/HMAC/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Unix/Syslog/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Data/ShowTable/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Mcrypt/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/GD/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/Crypt/DES/.packlist /usr/lib/perl5/site_perl/5.8.0/i586-linux-thread-multi/auto/SNMP/.packlist

Searching for LPD Worm files and dirs... nothing found
Searching for Ramen Worm files and dirs... nothing found
Searching for Maniac files and dirs... nothing found
Searching for RK17 files and dirs... nothing found
Searching for Ducoci rootkit... nothing found
Searching for Adore Worm... nothing found
Searching for ShitC Worm... nothing found
Searching for Omega Worm... nothing found
Searching for Sadmind/IIS Worm... nothing found
Searching for MonKit... nothing found
Searching for Showtee... nothing found
Searching for OpticKit... nothing found
Searching for T.R.K... nothing found
Searching for Mithra... nothing found
Searching for OBSD rk v1... nothing found
Searching for LOC rootkit ... nothing found
Searching for Romanian rootkit ... nothing found
Searching for Suckit rootkit ... nothing found
Searching for Volc rootkit ... nothing found
Searching for Gold2 rootkit ... nothing found
Searching for TC2 Worm default files and dirs... nothing found
Searching for Anonoying rootkit default files and dirs... nothing found
Searching for ZK rootkit default files and dirs... nothing found
Searching for ShKit rootkit default files and dirs... nothing found
Searching for AjaKit rootkit default files and dirs... nothing found
Searching for zaRwT rootkit default files and dirs... nothing found
Searching for anomalies in shell history files... nothing found
Checking `asp'... not infected
Checking `bindshell'... not infected
[b]Checking `lkm'... You have     2 process hidden for readdir command
You have     2 process hidden for ps command
Warning: Possible LKM Trojan installed[/b]
Checking `rexedcs'... not found
Checking `sniffer'... eth0: PF_PACKET(/usr/local/bin/snort)
eth0:0: PF_PACKET(/usr/local/bin/snort)
eth0:1: PF_PACKET(/usr/local/bin/snort)
eth0:2: PF_PACKET(/usr/local/bin/snort)
eth0:3: PF_PACKET(/usr/local/bin/snort)
Checking `w55808'... not infected
Checking `wted'... nothing deleted
Checking `scalper'... not infected
Checking `slapper'... warning, got bogus unix line.
not infected
Checking `z2'... nothing deleted

Wie ihr sehen könnt, sagt er dass ich einen LKM Trojan haben könnte. Ich habe also chkrootkit nochmal gestartet und diesmal sagt es nichts, dann habe ich es nochmal probiert, wieder NICHTS! Auch "netstat -a" zeigt keine "neuen" lauscher am System... Was meint ihr davon? Könnte es eine False-Positive Meldung gewesen sein? Vielen Dank für Hilfe!

P.S.: Ich nütze SuSE 8.2 mit allen Patches. Der Kernel hat KEIN grsec (standard-SuSE-kernel), Snort 2.1.0 ist als IDS installiert, aber kein Tripwire oder andere Tools!

[captaincrunch]

http://www.rootforum.org/faq/index.php? ... 31&lang=de

[chtekk]

Also Portsentry ist nicht drauf, doch Postfix schon! Aber das ist das Bindshell Problem, das kenne ich, bei mir sinds LKM Trojans... Wie kann ich checken das wirklich nichts auf meinem System ist?

[Edit]
In der /tmp ist nichts, alle Services sind Online, alle Webs funktionieren perfekt und es wurde nicht mehr space auf der HD genutzt und der Traffic ist auch NICHT angestiegen. Hoffe wirklich es war falscher Alarm... Wenn ich aslo die Box nicht neu aufsetzen muss, werde ich dann mal Tripwire & some others installieren und nen 2.4.24+GRSec einbauen! Aber war es nun wirklich falscher Alarm?

[higgins]

./chkrootkit -x lkm

http://www.solarspeed.net/kb/623.php

[chtekk]

OK, vielen Dank, hat sich gelöst, war nur falscher Alarm! ;) Aber ein bisschen Paranoia tut immer gut.

[klausi01]

Hinweis:

Eine Warnmeldung wie Warning:

Possible LKM Trojan installed

oder ein Eintrag in der Logdatei /var/log/chkrootkit.log wie

You have 1 process hidden for readdir command You have 1 process hidden for ps command Possible LKM Trojan installed

könnte dann auftauchen, wenn man zum Zeitpunkt des Tests zusätzlich an einer anderen Konsole angemeldet war oder "bestimmte" Prozesse im Hintergrund laufen. (z.B. "updatedb &" oder ein anderer Cron-Job).

Deshalb sollte man das Script nur dann per Crontab laufen lassen, wenn andere Cronjobs nicht aktiv sind. Wen es trotzdem nervt, stellt den Schalter zu Beginn des Scriptes auf LKM=â??noâ?? um.