
Ubuntu日本語フォーラム

ログインしていません。
aptitude upgradeを実行した所、
# aptitude upgrade
以下の新規パッケージがインストールされます:
linux-headers-2.6.31-17{a} linux-headers-2.6.31-17-server{a}
linux-image-2.6.31-17-server{a}
以下のパッケージは『削除』されます:
linux-headers-2.6.31-16{u} linux-headers-2.6.31-16-server{u}
以下のパッケージは更新されます:
apparmor apparmor-utils libapparmor-perl libapparmor1 libc-bin
libc-dev-bin libc6 libc6-dev libglib2.0-0 libglib2.0-data
libgssapi-krb5-2 libk5crypto3 libkrb5-3 libkrb5support0 libwbclient0
linux-headers-server linux-image-server linux-libc-dev linux-server
rsyslog samba-common samba-common-bin smbfs tzdata upstart
25 個のパッケージを更新、 3 個を新たにインストール、 2 個を削除予定、0 個が更新されていない。
59.1MB のアーカイブを取得する必要があります。 展開後に 113MB のディスク領域が新たに消費されます。
先に進みますか? [Y/n/?] y
chkrootkitでSuckitが検出されるようになりました。
# chkrootkit
...
Searching for Suckit rootkit... Warning: /sbin/init INFECTED
rkhunterでは、SuckitはNot Foundとなりましたが、コマンドでいくつかWarningが出ています。
# rkhunter -c
Checking system commands
...
/usr/bin/ldd [ Warning ]
/sbin/init [ Warning ]
/sbin/runlevel [ Warning ]
/usr/sbin/inetd [ Warning ]
/usr/sbin/rsyslogd [ Warning ]
...
Checking for rootkits
...
Suckit Rootkit [ Not found ]
ちなみに各バージョンは以下になっています。
chkrootkit 0.48-10
rkhunter 1.3.4-5
Ubuntu-Server 9.10 Karmic Koala amd64
2.6.31-16-server #53-Ubuntu SMP Tue Dec 8 05:08:02 UTC 2009 x86_64 GNU/Linux
bugが上がっているようなのですが、心配です。
http://ubuntuforums.org/showthread.php?p=8548522
同じような状況で解決された方いらっしゃいますでしょうか?
アドバイスお願い致します。
オフライン
これはどうしたいのでしょう。
・本当にセキュリティ侵害を受けているか確認したい。
・false positiveらしいので、誤った検知が出ないようにしたい。
前者に関連する情報としては、少なくとも、chkrootkitの検出方法は非常に単純な方法で、/sbin/initのバイナリに特定の文字列が含まれているかどうかと、mapsに「init」という文字列が含まれていないかしか見ていません。UbuntuのinitはUpstartで、この条件には必ずヒットする、ということが言えます。
また、rkhunterのWariningは、/var/log/rkhunter.log を見て頂くと、なぜWarningが出たのかが記載されているはずですので、そちらと照らし合わせてみる必要があるかと思います。
オフライン
自己解決しました。
hito による投稿:
これはどうしたいのでしょう。
・本当にセキュリティ侵害を受けているか確認したい。
・false positiveらしいので、誤った検知が出ないようにしたい。
質問の意図が分かり難く、申し訳ございませんでした。
はい、上記のようなアドバイスを欲していました。
hito による投稿:
前者に関連する情報としては、少なくとも、chkrootkitの検出方法は非常に単純な方法で、/sbin/initのバイナリに特定の文字列が含まれているかどうかと、mapsに「init」という文字列が含まれていないかしか見ていません。UbuntuのinitはUpstartで、この条件には必ずヒットする、ということが言えます。
サーバをreboot後、検出されなくなりました。
hito による投稿:
また、rkhunterのWariningは、/var/log/rkhunter.log を見て頂くと、なぜWarningが出たのかが記載されているはずですので、そちらと照らし合わせてみる必要があるかと思います。
以下を実行することでWariningも表示されなくなりました。
# rkhunter --propupd
お騒がして本当に申し訳ございませんでした。
オフライン