「Linux＋ApacheのWebサーバを標的とするルートキット」記事へのコメント

感染確認

[nox_dot (11614)]

tcpdumpでは、いくら待ってパケットが来なかったら感染していないと判断できるかという時間が分からないため、
感染していないかどうかは「mkdir 1」をやってみる事で調べた方が良いと思います。
もっとも、「数字で始まる名前のディレクトリが作れない」というバグが修正されたrootkitが登場していたらわかりませんけど。

Re:

[flutist (16098)]

普通にログインして、数字から始まるディレクトリが作れないと言うことは、カーネルかシェルが置き換わってるってこと？

そんなことやられちゃう状況なら、もう何をされててもおかしくないですね。極端な話、違うＯＳで再起動されたりとか。

Re:感染確認

[keepiru (34886)]

rootkit により数字ディレクトリが見えなくなるのでは？