Hack-FAQ

Sidex (hack-faq@real.xakep.ru)

Xakep, номер #069, стр. 069-056-2

Q: Можно ли поправить реестр так, чтобы запускались сразу несколько асек?

A: Можно, причем не только несколько ICQ-клиентов от Mirabilis завести, но и подключить альтернативный софт вроде Миранды. Чтобы нововведения вступили в силу, нужно исправить реестр следующим образом:

[HKEY_LOCAL_MACHINE\Software\Mirabilis\ICQ\DefaultPrefs]

"Auto Update"="No"

"OwnersNoLimit"="Yes"

"MultiInstance"="Yes"

Q: Мой *nix-бокс протроянили негодяи! Чего сейчас-то делать?

A: Плакать горькими слезами! Если перспектива не катит, то попробуем проиграть с минимальными потерями по следующему сценарию. Надо: отключить затрояненный бокс от сети, добыть все существующие патчи для системы, сохранить патчи в другую систему (/drive/CDR/etc). Конечно же, забэкапить всю важную инфу из поверженного бокса. Исключить любые бинарники из бэкапа (они могут быть также заражены). Стереть партицию, где была установлена система (отформатировать заразу). Переставить ось, зарядить ее всеми патчами (находясь в офлайне, конечно). Создать свою hidden-директорию, куда скопировать все ключевые файлы системы (ls, netstat, ifconfig): по оригиналам можно будет отследить, какие утилиты могли быть подменены. Только тогда, ни шагом раньше, можно вывести систему снова в онлайн. Не забывай про бэкапы и своевременные обновления в дальнейшем!

Q: Есть ли софт, вроде антивируса, который найдет руткит в моем *nix’e?

A: Сейчас можно найти кучу подобных rootkit scanner’ов, которые позволят узнать, только ли тебе принадлежит система или тут уже покопался грязный хэккер. Наиболее известный сканер подобного рода – chkrootkit (www.chkrootkit.org). Он умеет искать конкретные руткиты, точно зная их повадки. Другие продукты данного семейства обладают и эвристическим анализатором, который позволяет отыскивать прежде невиданную заразу. Недавно я познакомился с rootkithunter’ом (www.rootkit.nl) и остался доволен. Сейчас поддерживаются практически все известные дистрибутивы. Авторы довольно оперативно выпускают апдейты к новым осям.