RootForum Community

Hi,

ich hab mal das CHKROOTKIT bei mir laufen lassen und bin etwas über folgende Ausgaben verstutzt:

Checking `find'... INFECTED
Checking `ls'... INFECTED
Checking `ps'... INFECTED
Checking `top'... INFECTED
Checking `bindshell'... INFECTED (PORTS: 465)

Alles andere ist OK. Woran kann dies liegen ?


Nachtrag: (PORTS: 465) ist OK, da ich da nen SMTPS laufen habe..

Bierteufel wrote: Alles andere ist OK. Woran kann dies liegen ?

Was willst du hören? verm. an nem erfolgreichen Einbruch?!

Na daran glaub ich nicht .
Mich würde interessieren, warum diese Files corrupted sind oder wie ich Sie fixen kann !!

Bierteufel wrote:Na daran glaub ich nicht .

Und warum nicht?

Bierteufel wrote:Mich würde interessieren, warum diese Files corrupted sind oder wie ich Sie fixen kann !!

Gar nicht.

Und warum nicht?

Weil der Rechner neben mir steht, Neu aufgesetzt ist, und noch nicht im NETZ war :-)

Es muss doch aber ne Ursache für die Anzeige INFECTED geben ??

Rofl, der war gut :D
Also welches OS hast du, sind neue Updates drauf etc. Hast du chkrootkit aus den Sourcen gebuildet oder per RPM von deinen Distributor geholt. Wie prüft chkrootkit den die Files, wurde da bei Buildprozess nicht eine Hashtabelle mit geführt? Oder verwechsel ich das atm. mit Tripwire :roll:

was läuft auf port 465? Wenns ne Shell ist, dürfte die sache klar sein.

Wie mein Vorposter schon: Wenns ein Inselsystem ist, dann helfen nur genauere Infos über das System. Sind die Installationsmedien auch "sicher" gewesen? Die könnten ja schon infected gewesen sein. Wurden Backups eingespielt? Waren die evtl. infiziert?

Um infiziert zu werden braucht man nicht unbedingt Netz. ;)

Ansonsten: Files genauer anschauen...

Gruss,

Out

Ã?hm, diese Meldung bekommt wahrscheinlich jeder, der diese Prüfung durchführt. Egal ob Linux Server oder Palm

Ich sage nur Forumsuche :!:

- Suse 9.1 (Original)
- CHROOTKIT selber gebaut
- Updates eingespielt, Quelle auch hier sauber

- Würde es was bringen die einzelnen Files welche als INFECTED markiert sind zu ersetzen ?

Danke Bierteufel

nein