「Linux＋ApacheのWebサーバを標的とするルートキット」記事へのコメント

感染確認

[nox_dot (11614)]

tcpdumpでは、いくら待ってパケットが来なかったら感染していないと判断できるかという時間が分からないため、
感染していないかどうかは「mkdir 1」をやってみる事で調べた方が良いと思います。
もっとも、「数字で始まる名前のディレクトリが作れない」というバグが修正されたrootkitが登場していたらわかりませんけど。

Re:感染確認

[flutist (16098)]

普通にログインして、数字から始まるディレクトリが作れないと言うことは、カーネルかシェルが置き換わってるってこと？

そんなことやられちゃう状況なら、もう何をされててもおかしくないですね。極端な話、違うＯＳで再起動されたりとか。

認識を改めるべき

[superfox (31908)]

奴等の目的は徹底した情報収集です。

すぐに思いつくのはクレジットカード番号など即お金に
つながりそうなものですが、今ではある種の backdoor
を仕掛けられた Unix マシンや bot 化した Windows マ
シンのアドレスなども取引の対象になっています（ソー
スは海外のニュース）。なので

> 極端な話、違うＯＳで再起動

のように仕掛けられたことが発覚するような事は絶対に
しません。

rootkit の実際についてはrootkit の紹介と対処法 [hawkeye.ac]
がわかり易いかも。

Re:感染確認

[keepiru (34886)]

rootkit により数字ディレクトリが見えなくなるのでは？