habana$ habana
11/02 :: 20:02
Admin
| | Pour commencer, enlève toute connexion sur le système touché et essaie d'isoler matériellement le serveur.Fais une image du disque pour inspection puis sauvegarde de l'ensemble des données nécessaires a récupérer sur un autre média. Ensuite, la meilleure chose à faire est de réinstaller de zero.Changement des mots de passe, vérification des droits, install de chkrootkit + planifier une tâche journalière avec cron
Entre temps, tu peux installer chkrootkit pour voir si il trouve d'autres traces (sniffer ou autres) et regarder dans /sbin/init , /etc/rc3.d/ et les rapports de log .
le rootkit a pû être installé par un compte utilisateur avec une petite faille non patché, un mot de passe qui se sera balladé en clair sur le réseau et/ou un accès par ssh
Si tu veux en savoir plus sur ton rootkit, le code source est facilement consultable mais je laisse l'ami google te dire où :
http://www.google.com/search?hl=en&lr=&ie=UTF-8&q=Suckit
Si tu n'es pas débordé, ce serait intéressant de faire un honeypot + ids avant de remonter le serveur
| |
