Bonjour à tous,
à la suite de la discussion suivante, comportement aléatoire du scanner (réparation efficace hier soir, puis nouvelle panne ce matin, puis de nouveau, ce soir, le scanner est trouvé par xsane)
j’ai lancé rkhunter, et récolté les «Warning» suivants:
# rkhunter --check --skip-keypress | grep Warning
/usr/bin/rkhunter [ Warning ]
/usr/bin/lwp-request [ Warning ]
Checking for enabled inetd services [ Warning ]
Checking for backdoor ports [ Warning ]
Checking for hidden files and directories [ Warning ]
# rkhunter --check --rwo
Warning: The file properties have changed:
File: /usr/bin/rkhunter
Current inode: 454958 Stored inode: 422636
Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: Perl script text executable
Warning: Found enabled inetd service: sane-port
Warning: Network TCP port 6666 is being used by /usr/sbin/crtmpserver. Possible rootkit: Possible rogue IRC bot
Use the 'lsof -i' or 'netstat -an' command to check this.
Warning: Hidden directory found: /etc/.git
Warning: Hidden directory found: /etc/.java
Warning: Hidden file found: /etc/.rsyncd.conf.swp: Vim swap file, version 8.1, pid 23783, user root, host pclf-w970suw, file /etc/rsyncd.conf, modified
dont je ne sais pas quoi faire. (y compris avec les commandes lsof -i et netstat -an)
et un possible rootkit:
File properties checks...
Files checked: 150
Suspect files: 2
Rootkit checks...
Rootkits checked : 480
Possible rootkits: 1
Applications checks...
All checks skipped
The system checks took: 2 minutes and 55 seconds
All results have been written to the log file: /var/log/rkhunter.log
One or more warnings have been found while checking the system.
Please check the log file (/var/log/rkhunter.log)
Le meilleur moyen de ne pas voir d’alertes est quand même de ne pas lancer rkhunter ou équivalents.
Surtout si c’est pour voir qu’un scanner ne marche pas.
Astuce ! Les méchants pirates se fichent totalement des scanners.
Là on est plus dans les soucis d’interface chaise-clavier.
Pour savoir si il y a plusieurs personnes sous le capot du cerveau de l’ordi, donne nous les retours de ces deux commandes :
w
last
Et SURTOUT, réponds à la dernière demande de @Gilles92 sur ton premier fil.
C’est bien vrai que 20 ans de M$ imposé au travail pour une application rigide et ne remplissant que bien peu son objectif a été un traumatisme! Bien vu cher confrère
salut
ce serait bien que quelqu’un qui maitrise rkhunter nous fasse un petit topo.
ce logiciel semble intéressant mais les warnings systématiquement présents m’empêche d’en tirer des conclusions , à part pour le résultat des Checking for rootkits… , Performing additional rootkit checks
Eh, bien déjà pour les fichiers et dossiers cachés, tu as l’explication plus loin, et le fichier /etc/. java caché c’est systématique, tu as toujours l’avertissement ( warning ).
Il faut réfléchir sur les avertisements ( aussi chercher sur Internet ), réfléchir à sa propre installation : Est-ce que mon installation est telle qu’elle peut déclancher un faux positifs pour rkhunter ? ) pour discriminer les faux positifs et ils sont fréquents.
Se renseigner, comparer, faire des hypothèses, les tester, en tirer des conclusions, c’est le mieux que l’on puisse accomplir, je ne crois pas que l’on puisse rédiger un tuto valable en toutes circonstances sur rkhunter.
Tout à fait. L’erreur classique est de croire que ce type d’outil est une mesure de protection (un anti-virus ou autre) alors que c’est une outil d’analyse post-mortem (forensic pour les anglophones). Et les nombreuses documentations erronées sur le web n’aident pas à ce niveau là…
les 4 premier font systématiquement parti de l’installation de mes machines, serveurs comme poste de travail.
Tout ça permet d’être informé sur ce qui peut se passer sur la machine, où d’être prévenu d’une modification.
Avec souvent plein de warning. mais mieux vaut être prévenu pour rien que de pas l’être pour quelque chose.
J’utilise peu de desktop sous linux, la faute aux jeux videos, donc j’ai peu voir pas du tout besoin sur mes machines d’un tel outil, mais en effet il devrait y figurer.
Sous W$ il sont souvent plusieurs sous le capot du cerveau de l’ordi !
