Mikä linux-versio sisältää parhaat mahdollisuudet paljastaa koneeseen pesiytynyt rootkit?
Paras Linux rootkittiä
vastaan?
241497
0Äänestä
Muut lukivat myös
Odottaa vastausta
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Turvaa tilisi vahvistamalla puhelinnumerosi. Voit silloin palauttaa unohtuneen salasanan tekstiviestillä.
Näihin keskusteluihin ei ole vielä vastattu. Ole ensimmäinen.
Vastaukset 24
Vanhimmat
kaikki jakelut on siinä yhtä huonoja. Linuxissahan täkäläisten trollien mukaan ei tarvi haittaohjelmien torjuntaa eikä palomuuria. Eli tervetuloa rootkitit ja koneiden etähallintaanotot.
on rakennettu samalla tavalla kuin wimpdoze.
> kaikki jakelut on siinä yhtä huonoja.
Muistelen lukeneeni kehuja Knoppix-nimisestä Linuxista nimenomaan rootkittejä vastaan. En vain tiedä millä perusteella noin olisi.
> Linuxissahan täkäläisten trollien mukaan ei tarvi haittaohjelmien torjuntaa eikä palomuuria. Eli tervetuloa rootkitit ja koneiden etähallintaanotot.
Linux on tietysti immuuni kaikille windows-viruksille, joita lienee jotain 95% kaikista. Aktiivisista eli nyt levitettävistä haittaohjelmista windowsin osuus taitaa olla liki 100%. Linuxin puolella on omat haittaohjelmansa ja niistä rootkitit ovat pahimmat. Rootkittihän onkin alun perin peräisin unix-maailmasta ja levinnyt myöhemmin windows-puolelle.
"Muistelen lukeneeni kehuja Knoppix-nimisestä Linuxista nimenomaan rootkittejä vastaan."
Knoppix on Live-CD jakelu, joka käynnistetään CD-levyltä sellaisena kun se on alunperin tarkoitettu käynnistettävän. Se toimii siis vain koneen muistissa, johon on hieman paha asennella rootkit-ohjelmia, koska seuraavan käynnistyksen jälkeen se ladataan uudelleen CD/DVD:ltä alkuperäisessä muodossaan.
> "Muistelen lukeneeni kehuja Knoppix-nimisestä Linuxista nimenomaan rootkittejä vastaan."
> Knoppix on Live-CD jakelu, joka käynnistetään CD-levyltä sellaisena kun se on alunperin tarkoitettu käynnistettävän. Se toimii siis vain koneen muistissa, johon on hieman paha asennella rootkit-ohjelmia, koska seuraavan käynnistyksen jälkeen se ladataan uudelleen CD/DVD:ltä alkuperäisessä muodossaan.
Minulla onkin jo käytössä Pclos Live, mutta sen Firefox kaatuu tämän tästä Out Of Memory virheeseen eikä Pclos näytä kykenevän järjestämään sille lisää tilaa. Myös Pclos Live itse kaatuu silloin tällöin ja on bootattava.
Nyt olisi vuorossa haittaohjelmien etsintä Pclos Livestä. :)
Kaikki jakelut ovat samanlaisia live-versioita lukuunottamatta. Rootkittejä voi yrittää metsästää vaikka Rootkit Hunterilla tai Tripwirellä.
Siinä vaiheessa kun epäilee rootkittiä, on jo myöhäistä käyttää Tripwireä. Rootkit Hunter ja muut vastaavat ohjelmat osaavat varoittaa vain tuntemistaan rootkiteistä. Tällöinkin kone on bootattava tarkistusta varten rompulta. Tarkistuksista huolimatta koko kone on kuitenkin tyhjennettävä ja asennettava kaikki alusta asti puhtaista lähteistä.
> Kaikki jakelut ovat samanlaisia live-versioita lukuunottamatta. Rootkittejä voi yrittää metsästää vaikka Rootkit Hunterilla tai Tripwirellä.
Kiitos vinkeistä! Nuo kokeillaan.
> Siinä vaiheessa kun epäilee rootkittiä, on jo myöhäistä käyttää Tripwireä.
Myös Pclos Liven tapauksessa? Sehän on CDllä. :)
> Rootkit Hunter ja muut vastaavat ohjelmat osaavat varoittaa vain tuntemistaan rootkiteistä. Tällöinkin kone on bootattava tarkistusta varten rompulta. Tarkistuksista huolimatta koko kone on kuitenkin tyhjennettävä ja asennettava kaikki alusta asti puhtaista lähteistä.
Olen käyttänyt Pclos Liveä sellaisenaan ja vain konfiguroinut ja päivittänyt mm Firefoxin Synapticilla. Homma on uusittava aina kun Pclos Live kaatuu. Mahdollinen rootkitti majailee siis vain muistissa ja on iskenyt suoraan netistä taikka sitten joku on käynyt kotonani puukottamassa koneeni biosta ja/tai Pclos Liven CDtä. Erikoinen tilanne vai mitä? :)
Kuulisin mielelläni hyvistä menettelytavoista rootkittien jahtaamisessa tässä erikoisessa tapauksessa. Koneessani on esimerkiksi Adaptecin SCSI-kortti, jolla on oma bios. Miten sen virheettömyyden voi tarkistaa? Tai vaihtoehtoisesti miten voi varmistaa, että tuo bios tekee vain sen mitä siltä odotetaankin? Tuon bioksen haluaisin tarkistaa koska tämä Adaptecin kortti esiintyy Pclosin hardwareluettelossa kahteen kertaan identtisillä tiedoilla.
Kysymyksesi koski pelastusromppua, jolla voisi testata koneella olevia rootkittejä. Minä taas vastasin kysymykseen että mikä jakelu vastustaa parhaiten rootkittejä. Taisi päässä olla aamukankeutta.
En ole koskaan kuullut että scsi-firmwaressa olisi ollut virus. Joskus aikoinaan oli jonkin tietyn pc-emon biossin tuhoava virus. Nyttemmin en moisesta ole kuullut. Onko kyseessä kaksiväyläinen scsi-kortti?
Jos epäilet rootkittiä, on paras keino tyhjentää koko kone ja asentaa kaikki uusiksi puhtaalta asennuslevyltä. Se on ainoa keino olla todella varma puhtaasta koneesta. Näin on syytä toimia myös siinä tapauksessa kun jokin rootkitin nuuskija ilmoittaa epäilyksensä.
Koneen toimintahäiriöihin saattaa vaikuttaa myös rautavika. Mikä onkin paljon todennäköisempää. Muistitestillä on hyvä aloittaa. Sitten kaapelointi ja lisäkortit. Biossista on syytä tarkistaa nopeudet ja kokeeksi asettaa "fail safe" asetukset.
> Kysymyksesi koski pelastusromppua, jolla voisi testata koneella olevia rootkittejä. Minä taas vastasin kysymykseen että mikä jakelu vastustaa parhaiten rootkittejä. Taisi päässä olla aamukankeutta.
Kysymykseni koski parasta Linuxia rootkittejä vastaan.
> En ole koskaan kuullut että scsi-firmwaressa olisi ollut virus. Joskus aikoinaan oli jonkin tietyn pc-emon biossin tuhoava virus. Nyttemmin en moisesta ole kuullut.
Ei siellä koko virusta tarvitse olla. Riittää, että se on puukotettu käynnistämään kovalevyllä piilossa olevan haittaohjelman kuten rootkitin.
> Onko kyseessä kaksiväyläinen scsi-kortti?
Eiköhän tuo ole yksiväyläinen. Ulos liittimeen menevä väylä on samaa väylää kovelevyille menevän kanssa. Tuossa kortin tiedot:
Identification
Vendor: AIC-7881U
Description:
Media class: STORAGE_SCSI
Connection
Bus: PCI
Bus PCI #: 0
PCI device #: 13
PCI function #: 0
Vendor ID: 0x0000
Device ID: 0x0000
Sub vendor ID: 0x0000
Sub device ID: 0x0000
Misc
Module: aic7xxx
> Jos epäilet rootkittiä, on paras keino tyhjentää koko kone ja asentaa kaikki uusiksi puhtaalta asennuslevyltä. Se on ainoa keino olla todella varma puhtaasta koneesta. Näin on syytä toimia myös siinä tapauksessa kun jokin rootkitin nuuskija ilmoittaa epäilyksensä.
Koska käytän Pclos Liveä, niin minun ei tarvitse tuota putsausta tehdä.
> Koneen toimintahäiriöihin saattaa vaikuttaa myös rautavika. Mikä onkin paljon todennäköisempää. Muistitestillä on hyvä aloittaa. Sitten kaapelointi ja lisäkortit. Biossista on syytä tarkistaa nopeudet ja kokeeksi asettaa "fail safe" asetukset.
Out Of Memory virheilmoitus ei taida vaatia muistin tai muunkaan testaamista. Niin selkeä se on. Muisti siis täyttyy vaikka ei pitäisi. :)
Aiotko päästä oikein historiankirjoihin rootkit-uhrina? Eipähän noita ole viimeaikoina ollut liikkeellä.
> Aiotko päästä oikein historiankirjoihin rootkit-uhrina?
Eipä ole minun haluistani kiinni.
> Eipähän noita ole viimeaikoina ollut liikkeellä.
Ajoin rootkithunterin ja huomasin, että erilaisia tunnettuja rootkittejä on peräti 62 kappaletta. Yhtään tuntemaansa rootkittiä tuo ei havainnut, mutta kuitenkin 12 epäilyttävää tiedostoa, 4 piilotettua tiedostoa, 1 piilotettu hakemisto ja 12 muutettua komentoa.
Koneessani voisi siis olla joko uusi rootkitti taikka peräti virtuaalikone.
>...joko uusi rootkitti taikka peräti virtuaalikone.
Ei muuta kuin kone julkiseen tutkintaan. Jos jotain löytyy niin takuulla pääset lehtiin ja historian kirjoihin. ;)
Tulkitseeko joku tämän mainokseksi?
> Ei muuta kuin kone julkiseen tutkintaan. Jos jotain löytyy niin takuulla pääset lehtiin ja historian kirjoihin. ;)
Jo vain sopii. Voisitko ensin sanoa miksi SCSI korttini näkyy tuplana Pclosin hardwareluettelossa? Sano vain minkä lokin haluat nähdä.
>...näkyy tuplana Pclosin hardwareluettelossa?
Mikähän se sellainen "luettelo" on?
Oikeasti, mitä näkyy konsolissa komennolla:
cat /proc/scsi/scsi
ja toisaalta komennolla:
lsmod|grep scsi
> >...näkyy tuplana Pclosin hardwareluettelossa?
> Mikähän se sellainen "luettelo" on?
HardDrake 2007
> Oikeasti, mitä näkyy konsolissa komennolla:
> cat /proc/scsi/scsi
[guest@localhost guest]$ cat /proc/scsi/scsi
Attached devices:
Host: scsi2 Channel: 00 Id: 02 Lun: 00
Vendor: IBM Model: DDYS-T18350N Rev: S96H
Type: Direct-Access ANSI SCSI revision: 03
Host: scsi2 Channel: 00 Id: 04 Lun: 00
Vendor: COMPAQPC Model: MAG3091LP Rev: 1811
Type: Direct-Access ANSI SCSI revision: 02
> ja toisaalta komennolla:
> lsmod|grep scsi
[guest@localhost guest]$ lsmod|grep scsi
bash: lsmod: command not found
[guest@localhost guest]$
> >...näkyy tuplana Pclosin hardwareluettelossa?
> Mikähän se sellainen "luettelo" on?
HardDrake 2007
> Oikeasti, mitä näkyy konsolissa komennolla:
> cat /proc/scsi/scsi
[guest@localhost guest]$ cat /proc/scsi/scsi
Attached devices:
Host: scsi2 Channel: 00 Id: 02 Lun: 00
Vendor: IBM Model: DDYS-T18350N Rev: S96H
Type: Direct-Access ANSI SCSI revision: 03
Host: scsi2 Channel: 00 Id: 04 Lun: 00
Vendor: COMPAQPC Model: MAG3091LP Rev: 1811
Type: Direct-Access ANSI SCSI revision: 02
> ja toisaalta komennolla:
> lsmod|grep scsi
Piti vähän etsiä komentoa:
[guest@localhost guest]$ /initrd/sbin/lsmod|grep scsi
mptscsih 23968 0 - Live 0xe0f4f000
tmscsim 22784 0 - Live 0xe0f48000
mptbase 51488 1 mptscsih, Live 0xe0e89000
scsi_transport_spi 24448 2 dmx3191d,aic7xxx, Live 0xe0e71000
scsi_mod 134600 13 usb_storage,3w_xxxx,mptscsih,tmscsim,dmx3191d,BusLogic,aic7xx x,ahci,scsi_transport_spi,sd_mod,sg,libata,sr_mod, Live 0xe0e9c000
[guest@localhost guest]$
> >...näkyy tuplana Pclosin hardwareluettelossa?
> Mikähän se sellainen "luettelo" on?
HardDrake 2007
> Oikeasti, mitä näkyy konsolissa komennolla:
> cat /proc/scsi/scsi
[guest@localhost guest]$ cat /proc/scsi/scsi
Attached devices:
Host: scsi2 Channel: 00 Id: 02 Lun: 00
Vendor: IBM Model: DDYS-T18350N Rev: S96H
Type: Direct-Access ANSI SCSI revision: 03
Host: scsi2 Channel: 00 Id: 04 Lun: 00
Vendor: COMPAQPC Model: MAG3091LP Rev: 1811
Type: Direct-Access ANSI SCSI revision: 02
> ja toisaalta komennolla:
> lsmod|grep scsi
Piti vähän etsiä komentoa:
[guest@localhost guest]$ /initrd/sbin/lsmod|grep scsi
mptscsih 23968 0 - Live 0xe0f4f000
tmscsim 22784 0 - Live 0xe0f48000
mptbase 51488 1 mptscsih, Live 0xe0e89000
scsi_transport_spi 24448 2 dmx3191d,aic7xxx, Live 0xe0e71000
scsi_mod 134600 13 usb_storage,3w_xxxx,mptscsih,tmscsim,dmx3191d,BusLogic,aic7xx x,ahci,scsi_transport_spi,sd_mod,sg,libata,sr_mod, Live 0xe0e9c000
[guest@localhost guest]$
> >...näkyy tuplana Pclosin hardwareluettelossa?
> Mikähän se sellainen "luettelo" on?
HardDrake 2007
> Oikeasti, mitä näkyy konsolissa komennolla:
> cat /proc/scsi/scsi
[guest@localhost guest]$ cat /proc/scsi/scsi
Attached devices:
Host: scsi2 Channel: 00 Id: 02 Lun: 00
Vendor: IBM Model: DDYS-T18350N Rev: S96H
Type: Direct-Access ANSI SCSI revision: 03
Host: scsi2 Channel: 00 Id: 04 Lun: 00
Vendor: COMPAQPC Model: MAG3091LP Rev: 1811
Type: Direct-Access ANSI SCSI revision: 02
> ja toisaalta komennolla:
> lsmod|grep scsi
Piti vähän etsiä komentoa:
[guest@localhost guest]$ /initrd/sbin/lsmod|grep scsi
mptscsih 23968 0 - Live 0xe0f4f000
tmscsim 22784 0 - Live 0xe0f48000
mptbase 51488 1 mptscsih, Live 0xe0e89000
scsi_transport_spi 24448 2 dmx3191d,aic7xxx, Live 0xe0e71000
scsi_mod 134600 13 usb_storage,3w_xxxx,mptscsih,tmscsim,dmx3191d,BusLogic,aic7xx x,ahci,scsi_transport_spi,sd_mod,sg,libata,sr_mod, Live 0xe0e9c000
[guest@localhost guest]$
Eli sinulla on YKSI, kuten pitääkin, Adaptec-yhteensopiva SCSI-kortti jossa on kiinni 18GB IBM:n ja 9GB Fujitsun levyt.
Oliko muuta? ;)
> Eli sinulla on YKSI, kuten pitääkin, Adaptec-yhteensopiva SCSI-kortti jossa on kiinni 18GB IBM:n ja 9GB Fujitsun levyt.
Fujitsun? En tiennytkään Compaqin teettäneen levynsä Fujitsulla.
> Oliko muuta? ;)
Oli. Et vastannut kysymykseeni, joka kuului: Miksi Pclosin hardwareluettelossa (HardDrakessa) on SCSI-kortti tuplana ja identtisin tiedoin:
SCSI Controllers
AIC7881U
AIC7881U
Kortin tiedot (molemmilla samat):
Identification
Vendor: AIC-7881U
Description:
Media class: STORAGE_SCSI
Connection
Bus: PCI
Bus PCI #: 0
PCI device #: 13
PCI function #: 0
Vendor ID: 0x0000
Device ID: 0x0000
Sub vendor ID: 0x0000
Sub device ID: 0x0000
Misc
Module: aic7xxx
Sanotko nyt, että näen väärin? :)
>...(HardDrakessa) on SCSI-kortti tuplana...
Luultavasti siinä HardDrakessa on bugi?
Se tekee kuvansa lspci komennon perusteella joten jos sillä näkyy kaksi niin sitten on jokin asetus pielessä.
>Sanotko nyt, että näen väärin? :)
En ole missään vaiheessa epäillyt näköaistisi kuntoa vaan sitä että teet vääriä johtopäätöksiä (rootkit, virtual server, jne) näköhavaintojesi perusteella. :D
> >...(HardDrakessa) on SCSI-kortti tuplana...
> Luultavasti siinä HardDrakessa on bugi?
Ohoo..
> Se tekee kuvansa lspci komennon perusteella joten jos sillä näkyy kaksi niin sitten on jokin asetus pielessä.
Asetus pielessä? Se on Pclos Liven muuttamaton ohjelma ja CDllä. :?
Käytin tuota lspci komentoa:
[guest@localhost guest]$ lspci|grep AIC-7881U
00:0d.0 SCSI storage controller: Adaptec AHA-2940U/UW/D / AIC-7881U (rev 01)
[guest@localhost guest]$
AIC-7881U näyttäisi esiintyvän vain kerran. Ei näytä siltä, että HardDrake käyttäisi pelkästään lspci-komentoa. Paitsi jos siinä on tuntematon bugi. :)
> >Sanotko nyt, että näen väärin? :)
> En ole missään vaiheessa epäillyt näköaistisi kuntoa vaan sitä että teet vääriä johtopäätöksiä (rootkit, virtual server, jne) näköhavaintojesi perusteella. :D
Minä kyllä epäilisin. Joskus näkö heikkenee niin hämäräksi, että joudun lukemaan sanomalehteä isolla suurennuslasilla 30 cm päässä 60W lampusta. Toisinaan esim lääkärin vastaanottohuoneen valaistus häiköö niin pahasti, että silmiä on varjostettava kämmenellä. Todella outoja ilmiöitä, joille ei ole löytynyt mitään selitystä.
Ok, palataan asiaan. Kun Pclos kaatuilee toistuvasti, niin syy on missä tahansa muualla kuin rootkitissä tai virtuaalikoneessa? Ja tämä on niin varma asia, ettei väittäjän tarvitse väitettään todistaa eikä vian syytä osoittaa? Niinkö? :) )
Testasin muuten myös koneeni RAMia noin 3 tuntia: ei virheitä.
Kerros muuten mistä saa valmiita Pclosin iso-paketteja ajantasaisin päivityksin CDlle poltettavaksi. Päivityksiä on niin julmetusti, että niiden asentamisesta seuraa vapaan RAMmin lopahtaminen. Minulla on vain ½ gigaa muistia.
Vinkkaa myös ohjelma, jolla voi tutkia CDn koko sisältöä tarkasti eli tavu tavulta, myös järjestelmärakenteita. Sille olisi tarvetta.
>Ei näytä siltä, että HardDrake käyttäisi pelkästään lspci-komentoa.
Ei tietenkään pelkästään koska kovossa on paljon muutakin kuin pci-kortteja.
>Ja tämä on niin varma asia, ettei väittäjän
>tarvitse väitettään todistaa eikä vian syytä
>osoittaa? Niinkö? :) )
Varmaahan ei ole muuta kuin maailmanloppu mutta Windowsia on rökitetty tietoturvan osalta siinä määrin että jos Linuxista löytyy pienikin todistettava näyttö toimivasta, yhdestäkin rootkitistä niin siitä nousee sellainen äläkkä ettei se jää keneltäkään huomaamatta.
>...niiden asentamisesta seuraa vapaan RAMmin lopahtaminen.
Ei mitenkään mahdollista. Todennäköisesti on kysymys samasta viasta. Veikkaisin emolevyä. Itsellä kokemusta yhdestä josta paikkakunnan yksi arvostetuimmista PC-huolloista vänkäsi viikkotolkulla ennen kuin suostui vaihtamaan takuukoneeseen.
Oireilu, selittämätön koneen jymähtäminen toimimattomaksi päivityksen aikana, loppui kuitenkin siihen kuin kanan lento. ILMAN mitään toimia kuten uudelleen asennusta tms. ;)