[完蛋] 我的電腦被種木馬了！

[Tetralet]

最近幾天我電腦的 LOG 怪怪的，
我還在猜是不是我昇級到了 Kernel 2.6.0 的關係...

後來我發現它在擷取我所 Key In 的按鍵！
用 chkrootkit 查了一下，
它說：

代碼: 選擇全部

Checking `lkm'... You have     6 process hidden for readdir command
You have     6 process hidden for ps command
Warning: Possible LKM Trojan installed

完了...
這下子可能要重灌我的 Linux 了...

[palmpilote]

I dont think this is Trojan.
Try to unload kernel module "evbug".
This kernel will record what you type in for debuging.

[Tetralet]

I dont think this is Trojan.
Try to unload kernel module "evbug".
This kernel will record what you type in for debuging.

好像是這樣子沒錯...

解決方案是修改 /lib/modules/2.6.0-1-k7/modules.inputmap，把

代碼: 選擇全部

evbug               0x0  0x0  0x0  0x0  0x0  0  0  0  0  0  0  0  0  0x1

這一行註解起來就行了。

請參考：

　http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=227391
　http://lists.debian.org/debian-powerpc/2004/debian-powerpc-200401/msg00119.html

嚇了我一大大跳！！


而

代碼: 選擇全部

Warning: Possible LKM Trojan installed

這個很可能是 chkrootkit 的 Bug，還在查証中...


謝謝囉～ palmpilote 兄！

[octapult]

小弟剛才執行了一下 chkrootkit -x lkm，發現有 4 個 hidden process，
從 /proc 查看，得知是 mozilla-bin 的子 process。
只要將 mozilla 關掉，chkrootkit -x lkm 就查不到東西了。
但是只要一打開 mozilla，這四個 hidden process 就馬上跑出來。

小弟個人猜測這可能不是真的 lkm rootkit，
不過目前還不太清楚狀況如何就是了

p.s. 上次我們也有關於 chkrootkit 和 hidden process 的相關討論：
viewtopic.php?t=2512&highlight=chkrootkit
上次的 hidden process 跟我這次遇到的不一樣。
上次的 hidden process 都是 kernel 的相關 process，
這次的 hidden process 都是 mozilla 的相關 process。

[阿信]

解決方案是修改 /lib/modules/2.6.0-1-k7/modules.inputmap，把

代碼: 選擇全部

evbug               0x0  0x0  0x0  0x0  0x0  0  0  0  0  0  0  0  0  0x1

這一行註解起來就行了。

我是直接移除 evbug.ko 呢...

[Tetralet]

我是直接移除 evbug.ko 呢...

仔細想了一下下，
這個方法也許是釜底抽薪的最佳解決之道呢！

[Tetralet]

小弟剛才執行了一下 chkrootkit -x lkm，發現有 4 個 hidden process，
從 /proc 查看，得知是 mozilla-bin 的子 process。
只要將 mozilla 關掉，chkrootkit -x lkm 就查不到東西了。
但是只要一打開 mozilla，這四個 hidden process 就馬上跑出來。

我查了一下，
我的（筆記型）電腦上的 hidden process 也全是 mozilla-bin 的子 process，
但它們這些 process 真的無法由 ps 取得呢...