[mdk-re] Странности.....

[mdk-re] Странности.....

[Korshunov Ilya]

У моего знакомого дома случилось странность). Подробности сказать не могу так как знакомы не очень разбирается в Linux и настравиал его я а к нему ещё не ездил. 
Проблема такая - X-ы внезапно погасли и вывалились в консоль (человек в Tux в этот момент игрался). Опосля чего он ребутнулся и X-сы не поднялись. При буте пишется про отсутсвие libc.so.6 а X-ы при страте говорят что-то вроде - INIT:id"x" повтор через 5 мин. 
Это что ?? Система Junior 1.1 голый. 
Это на взлом похоже (машина в большой домашней сети с кучей придурков так что такая возможность не исключена). Если да не подскажете где нарыть софтинку которая проверят наличие rootkit в системе. 

regards
korshunov

Re: [mdk-re] Странности.....

[Antonio]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

On Wed, 6 Feb 2002, Korshunov Ilya wrote:

> У моего знакомого дома случилось странность). Подробности
> сказать не могу так как знакомы не очень разбирается в Linux
> и настравиал его я а к нему ещё не ездил.
> Проблема такая - X-ы внезапно погасли и вывалились в консоль
> (человек в Tux в этот момент игрался). Опосля чего он
> ребутнулся и X-сы не поднялись. При буте пишется про
> отсутсвие libc.so.6

Из-за резета, похоже, испортилась библиотека. Ну, вывалилось в
консоль, так резет-то зачем? Сначала лучше Ctrl-Alt-Del;
Att-SysRQ S U B попробовать.

> а X-ы при страте говорят что-то вроде -
> INIT:id"x" повтор через 5 мин.

Не могут стартовать.

> Это что ?? Система Junior 1.1 голый.
> Это на взлом похоже (машина в большой домашней сети с кучей
> придурков так что такая возможность не исключена). Если да
> не подскажете где нарыть софтинку которая проверят наличие
> rootkit в системе.

Попробуйте сходить на http://www.freshmeat.net и в строчке
поиска там укажите rootkit. Будет штук 10 разных детекторов.

По поводу домашней сети: придется Вам (или кому-то еще), если не
хотите быть поломанными, тщательно закрыться файрволлом и
поприбивать все ненужные болтающиеся сервисы. Попутно
посоветовал бы посидеть пару дней на http://www.cert.org и
подписаться на bugtraq.

P.S. Меня самого недавно поломали из-за собственного расп...ва.
В декабре еще нашли дыру в ssh (crc32 compensation attack), а я
так и не пропатчил.  Закономерный результат: на роутере (он же
по совместительству конторский firewall) завелся rootkit под
названием armand. Но мне сильно повезло. Ядро на роутере --
2.0.38, на котором этот руткит работает только наполовину
(сниффер пустить он еще смог, а вот замаскироваться так, что не
видно ни его процессы, ни его файлы -- нет). Вот он, плюс
"каменновекового старья". ;-)))

P.P.S. Обычно установка руткита проходит абсолютно незаметно (в
этом-то и весь смысл). У Вашего друга, скорее всего, либо
сбойнуло железо, либо Tuxracer просто упал. А друг Ваш,
подозреваю, как рут сидит.

- -- 
Best regards,
	Tony.			mailto:obidos@mail.ru
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.4 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE8YRJi2gaLrWRbr5URAo3MAKCTpa+q7TJCOXNc/XyGuURUSMYlhACdHQoB
vV+1Gpi9i9p/3Td3Neoou+8=
=iGVH
-----END PGP SIGNATURE-----

Re: [mdk-re] Странности.....

[Korshunov Ilya]

> > У моего знакомого дома случилось странность). Подробности
> > сказать не могу так как знакомы не очень разбирается в Linux
> > и настравиал его я а к нему ещё не ездил.
> > Проблема такая - X-ы внезапно погасли и вывалились в консоль
> > (человек в Tux в этот момент игрался). Опосля чего он
> > ребутнулся и X-сы не поднялись. При буте пишется про
> > отсутсвие libc.so.6
> 
> Из-за резета, похоже, испортилась библиотека. Ну, вывалилось в
> консоль, так резет-то зачем? Сначала лучше Ctrl-Alt-Del;
> Att-SysRQ S U B попробовать.
Ну это не ко мне))) 
> > а X-ы при страте говорят что-то вроде -
> > INIT:id"x" повтор через 5 мин.
> 
> Не могут стартовать.
> 
> > Это что ?? Система Junior 1.1 голый.
> > Это на взлом похоже (машина в большой домашней сети с кучей
> > придурков так что такая возможность не исключена). Если да
> > не подскажете где нарыть софтинку которая проверят наличие
> > rootkit в системе.
> 
> Попробуйте сходить на http://www.freshmeat.net и в строчке
> поиска там укажите rootkit. Будет штук 10 разных детекторов.
спасибо!
> По поводу домашней сети: придется Вам (или кому-то еще), если не
> хотите быть поломанными, тщательно закрыться файрволлом и
> поприбивать все ненужные болтающиеся сервисы. Попутно
> посоветовал бы посидеть пару дней на http://www.cert.org и
> подписаться на bugtraq.

да сразу не успел надо заехать поставить...а bagtraq для home pc
лишнее как мне кажется, iptables надеюсь хватит

> P.S. Меня самого недавно поломали из-за собственного расп...ва.
> В декабре еще нашли дыру в ssh (crc32 compensation attack), а я
> так и не пропатчил.  Закономерный результат: на роутере (он же
> по совместительству конторский firewall) завелся rootkit под
> названием armand. Но мне сильно повезло. Ядро на роутере --
> 2.0.38, на котором этот руткит работает только наполовину
> (сниффер пустить он еще смог, а вот замаскироваться так, что не
> видно ни его процессы, ни его файлы -- нет). Вот он, плюс
> "каменновекового старья". ;-)))
Угу..у меня такое же как то на почтовике было...
> P.P.S. Обычно установка руткита проходит абсолютно незаметно (в
> этом-то и весь смысл). У Вашего друга, скорее всего, либо
> сбойнуло железо, либо Tuxracer просто упал. А друг Ваш,
> подозреваю, как рут сидит.
Не....точно не как рут.