Arch Linux

[chkrootkit] systemd infected

linux-ka

Moin,

ich hab eben mal chkrootkit durchlaufen lassen und Überraschung:

chkrootkit|grep INFECTED
(...)
Searching for Suckit rootkit... Warning: /sbin/init INFECTED

mit

ls -l /sbin/init                
lrwxrwxrwx 1 root root 22  2014-07-08, 15:13:44  /sbin/init -> ../lib/systemd/systemd

Da nun chkrootkit keine manpage mit sich führt....wie ist denn dieser 'Befall' zu werten?

Besten Dank für die Beratung,

L-K

Dirk

Am besten mal auf einem unkompromittierten System installieren, und die Checksummen vergleichen. Ich vermute einen Fehlalarm.

portix

Der Grund dafür dass man bei systemd ein "infected" bekommt ist dass chkrootkit im init binary nach dem String HOME= sucht, und den gibt es auch im nicht infizierten systemd binary. chkrootkit geht wohl von sysvinit aus.

linux-ka

Hm, ok. Danke euch.

Damit ist wohl chkrootkit erstmal als unzuverlässig anzusehen....oder ist das das einzige Problem, das man zu erwarten hat?

Ovion

Ich sehe grad noch nicht, welchen Sinn es hat, eine Rootkit-Suche via "HOME=" zu machen. Damit würde das Rootkit das Homeverzeichnis meines Nutzers ändern, aber ist das für ein Rootkit nicht viel zu weit oben vom Angriffspunkt her?

portix

Ich weiss nicht im Detail wie das rootkit funktioniert, habe auch den sourcecode nur kurz überflogen, aber das rootkit baut eine reverse shell zum Angreifer auf um eine eventuelle firewall zu umgehen. Mit HOME= wird das environment der reverse shell gesetzt nicht das home verzeichnis des eigentlichen rootkits.

Ovion

Ach so, ok, dann ergibt das Sinn.

linux-ka

Hab gesehen, dass der Bug schon seit geraumer Zeit existiert. In einem Bugtracker von Fedora ist das seit ca. F14 bekannt und unbehoben....scheint wohl nicht wichtig zu sein.