Как лечить rootkit?

Здравствуйте,
посоветуйте новичку как лечить руткит. Есть машина под debian lenny, перестали выполняться некоторые команды, в т.ч. top, пишет что библиотеки не найдены, хотя они на месте. Проверила систему chkrootkit и rkhunter, обнаружились зараженные файлы. Непонятно что теперь делать.
Есть в том числе подозрительный /bin/ls.
Права на него такие
-rwxr-xr-x 1 122 haldaemo 39696 Apr 28 2010 ls
этих пользователя и группы не существует, файл не удалить из-под рута operation not permitted, пользователя соответственно тоже не поменять.
Как быть в этой ситуации?
Очень надеюсь на помощь!

nerpa написал:

Проверила систему chkrootkit и rkhunter, обнаружились зараженные файлы. Непонятно что теперь делать.

покажите вывод команды - часто они ругаются на подозрительные (но НЕ заражённые) файлы.

nerpa написал:

этих пользователя и группы не существует, файл не удалить из-под рута operation not permitted, пользователя соответственно тоже не поменять.

дайте вывод
mount
lsattr /

nerpa написал:

Как быть в этой ситуации?

прибить всё, поставить с нуля, и аккуратно восстановить из бекапа данные (аккуратно потому, что там могут быть НЕ ТОЛЬКО данные)
когда будете ставить, перед восстановлением данных из бекапа поставьте все обновления безопасности
восстанавливайте ТОЛЬКО пользовательские данные.
саму систему скачайте по новой, из надёжного источника. проверьте md5 после закачки.
устанавливайте, настраивайте, и восстанавливайте с отключённым интернетом и с отключённой LAN.

Самое главное: примите административные меры. В смысле - НЕ технические. Выясните, кто, когда, и почему имел доступ к компьютеру. Но тут уж я вам помочь ни чем не могу, это вам в милицию ;( Или там в собственную безопасность, или - самостоятельно. Не знаю.

nerpa написал:

Здравствуйте,
посоветуйте новичку как лечить руткит. Есть машина под debian lenny, перестали выполняться некоторые команды, в т.ч. top, пишет что библиотеки не найдены, хотя они на месте. Проверила систему chkrootkit и rkhunter, обнаружились зараженные файлы. Непонятно что теперь делать.
Есть в том числе подозрительный /bin/ls.
Права на него такие
-rwxr-xr-x 1 122 haldaemo 39696 Apr 28 2010 ls
этих пользователя и группы не существует, файл не удалить из-под рута operation not permitted, пользователя соответственно тоже не поменять.
Как быть в этой ситуации?
Очень надеюсь на помощь!

ну во первых /bin/ls - базовый системный файл (команда ls - вывод содержимого каталога), haldaemon - базовый системный пользователь , демона hald , отвечает за "горячее" подключение всего и вся . Хотя у меня /bin/ls принадлежит root'у . Я бы не советовал пороть горячку , но если есть сомнения наверно лучше переустановить , лишний опыт не бывает . Но для начала покажите лог chkrootkit и rkhunter, только те места где он ругается .

Вчера поставила Mageia2, посидела после немного в в инете, сегодня установила все обновления. Сразу после этого установила rkhunter и запустила сканирование. И вот что он обнаружил

Я в некотором замешательстве... Possible значит "возможный"... Это ложная тровога или как ? Дело в том, что на Mageia1 периодически запускала сканирование rkhunter и всё спокойно было, а тут сразу после обновления(((
Вообще, не пойму: rkhunter только СКАНИРУЕТ систему, но ЛЕЧИТ ли он её?

"lightwinter⇓" написал:

Я в некотором замешательстве... Possible значит "возможный"... Это ложная тровога или как ? Дело в том, что на Mageia1 периодически запускала сканирование rkhunter и всё спокойно было, а тут сразу после обновления(((

IMHO, тревога ложная.

"lightwinter⇓" написал:

ообще, не пойму: rkhunter только СКАНИРУЕТ систему, но ЛЕЧИТ ли он её?

Не лечит.

lightwinter, попробуйте ещё chkrootkit.

Lupo Alberto написал:

lightwinter, попробуйте ещё chkrootkit.

Угу, chkrootkit с его проблемой Bug 56267 - msec logs: "Chkrootkit check: failed"? Или она решена уже? Извините, может я вновь отстала от жизни... И опять же: chkrootkit тоже только СКАНИРУЕТ систему, но не ЛЕЧИТ её?
Я, кстати, хотела chkrootkit тоже заодно установить, но там почему-то этот пакет только для Mageia1 доступен.
Вот что забавно (и тревожно одновременно): версия то rkhunter ТА ЖЕ САМАЯ, что была в Mageia1, но бить тревогу по поводу руткита этот охотник стал только сейчас!!! Ложная ли тревога то?!
Извините, прошла по предложенной ссылке https://forums.mageia.org/en/viewtopic.php?f=7&t=2867, но мало что поняла по ангельски, разве что тема solved - "решена":)

Вроде была уже подобная тема =)

Помню отписывался насчёт паранойи и ненужности всех этих сканеров, антивирусов и прочего.

Стоит ли игра свеч?

verg написал:

Вроде была уже подобная тема =)

Помню отписывался насчёт паранойи и ненужности всех этих сканеров, антивирусов и прочего.

Стоит ли игра свеч?

Паранойя моя имеет виндовые корни:) Когда-то помнится своими же ручками установила черт те знает какую виндову программу да к тому же запустила её тут же под Админом (вот дура-то была!)! Итог был плачевен: та прога снесла все мои бесценные данные! А с руткитами я ведь мало знакома:) - слышала нехорошее про них, но в глаза то ведь не видала:)

lightwinter, rootkit - бинарный файл использующий права root для взлома операционной системы
с последующим использованием оной в соответствии с программным кодом самого себя.
Обычно создаются либо на заказ, либо в рамках какого-то крупного проекта кракеров. Лечится антивирусом.