Руткит

[r0mk]

При выключении система выдает ошибку FUCK: Can't open /dev/kmem for read/write
Погуглил.. оказывается это руткит http://seclists.org/incidents/2003/Oct/0071.html
Помогите выковырять его из системы..
Система мандрива 2007.0

[A.S.]

а что-нибудь типа Rootkit Hunter не пробовали прогнать ?

http://www.rootkit.nl/projects/rootkit_hunter.html

[Rootlexx]

r0mk, как вы умудрились его схватить?..
Можно ещё посмотреть chkrootkit.

[r0mk]

2Rootlexx, 2A.S. спс за линки попробую
Да я сам не знаю, штука это как я понял старая, еще журнал Phrack #58 про него писал..

[Liksys]

Лучше всего сейчас загрузиться с лайва, сделать бекапы всех своих данных и переустановить систему, форматнув все разделы. Потому что не факт, что руткиты можно удалить целиком.

[Rootlexx]

Лучше всего сейчас загрузиться с лайва, сделать бекапы всех своих данных и переустановить систему, форматнув все разделы. Потому что не факт, что руткиты можно удалить целиком.

Пока что не факт, что это руткит .

[unflag]

Лучше всего сейчас загрузиться с лайва, сделать бекапы всех своих данных и переустановить систему, форматнув все разделы. Потому что не факт, что руткиты можно удалить целиком.

Пока что не факт, что это руткит .

В любом случае - не дело, когда система матом тебя кроет

[r0mk]

Просканировал chkrootkit'ом он ничего не нашел
Rootkit Hunter только выдал штук 6 предупреждений
То что руткит это факт, в по ссылке в первом сообщении это сказано, еще обсуждения нашел http://www.opennet.ru/openforum/vsluhforumID1/64774.html но они тоже не решили проблему..
Какой еще сканер пособетуете?

зы: 2 liksys это конечно тоже вариант, но тока в самом крайнем случае..

[Liksys]

зы: 2 liksys это конечно тоже вариант, но тока в самом крайнем случае..

За весь мой опыт общения с руткитами, это единственный самый надежный способ их уничтожения.

[r0mk]

И все таки я не думаю что из-за какого то древнего руткита придется всю систему поднимать. Думаю должно быть более рациональное решение..
зы: называется он Suckit Rootkit

[A.S.]

мож руткит с модификацией ?
в Rootkit Hunter оригинальный Suckit включён давно , также как и в chkrootkit

Можно попробовать метод
[remove suckit rootkit] http://www.soohrt.org/stuff/linux/suckit/
еще сканеры
Unhide - http://www.security-projects.com/?Unhide
Rootkit Profiler LX - http://www.trapkit.de/research/rkprofiler/rkplx/rkplx.html
Удачи!

[r0mk]

2 A.S. Огромное спасибо
Проблему решил
Очень помогла статья [remove suckit rootkit] http://www.soohrt.org/stuff/linux/suckit/
Еще пришлось обновить пакет SysVinit-2.86-4mdv2007.0 и подчистить все что этот руткит насоздавал..