Re: Je sens que vous allez vous foutre de moi... ;-)

Une machine infectée, il faut réinstaller pour être sûr. 

C'est très
difficile de débusquer les rootkits car ils se cachent en remplaçant les
commandes "ps", les commandes qui vérifient le binaire de "ps"... 

Donc
mettre de côté /home et /var/www et autres lieux exploités pour des
fichiers personnels sur ton poste. 

booter sur un un live CD 

vérifier
les fichiers avec un sticky bit dans les partitions à conserver depuis le
live CD 

basculer les fichiers appartenant à root.root de ces partitions
vers un utilisateur comme nobody (attention à /var/log ou /var/run
/var/opt) 

attention aussi aux bases de données qui stockent leurs données
dans /var 

A partir de là on peut réinstaller sans reformater ces
partitions. Par contre, c'est plus prudent de reformater / 

Il faut aussi
se demander comment le rootkit s'est installé au départ, sans doute que le
problème va se poser de nouveau si tu ne change pas ta méthode de travail
avec le compte admin. 

Sam 

On Mon, 29 Mar 2010 14:45:57 +0200,
contactpao  wrote:  

Le lundi 29 mars 2010, dans le message «[Confirme] Je
sens que vous allez vous foutre de moi... ;-)», selon Sylvain : 

> Salut à
tous, 

> 

> Voilà l'histoire qui m'est arrivée. 

> Je suis modérateur
sur un forum et depuis quelques temps 

> on était envahis de spams. Comme
j'en avais mare de supprimer 

> les messages et de bannir les auteurs je
me suis dit que ce serait 

> peut-être plus efficace de bannir l'adresse
IP. Effectivement, tous 

> les spammeurs avaient la même IP. Je banni
l'IP... 

> Et quand je me reconnecte la réponse est: vous êtes banni de ce


> forum! 

> 

> Là, j'en vois qui rigolent! 

> 

> Bon, dès que j'ai
accès à un autre ordinateur je me libère, ce n'est 

> pas un problème,
mais quelqu'un m'a mis un "kit" sur mon pc. 

> Comment s'en débarrasser?
Où peut-il se trouver? 

> Existe-t-il des programmes de nettoyage? 

> 

>
Mandriva 2010. 

> 

> Merci d'avance. 

> Sylvain. 

Salut Sylvain,


Tente chkrootkit et rkhunter 

Perso j'ai jamais été infecté mais
j'utilise régulièrement les 2 pour vérifier ma machine.

=================================
http://www.mandriva.com/linux/

Services & cert. hw on http://store.mandriva.com/
=================================