Rootkit / Trojaner - Gefahr oder Normal ?

[Kettwiesel]

1. Suse10.0 (Slick)ist auf partition /dev/hda5 installiert und wird seit ca. 2 Monaten als Internet-System verwendet.
2. Suse10.0 (Slick) habe ich jetzt nochmals auf /dev/hda7 installiert.

Ein Vergleich der Datei ls (von System1 und System2) :
md5sum /dev/hda5/bin/ls
muss doch identisch sein mit :
md5sum /dev/hda7/bin/ls

Ist bei mir nicht der Fall !
ein cmp -l dieser (vom datum und der Größe gleichen) dateien
zeigt 18 bytes an, die ungleich sind.
?
Verstehe ich nicht.
(chkrootkit hat nichts gefunden.)

[stefan.becker]

Systemupdate?

[Kettwiesel]

Systemupdate?

ja das system mit internetzugang hatte ich upgedatet. aber die dateien "ls" sind ja von der größe und erstellungsdatum trotzdem identisch.

[Das AWiMON]

Hallo!

Ich habe darüber gegrübelt wie das angehen kann, wenn keine Veränderung der eigentlichen Datei dafür verantwortlich ist.
Also, mein Tip:
Voneinander abweichende Dateiberechtigung (oder Eigentümer)?!

Ich grübel noch ein wenig weiter [1],
Das AWiMON

[1] Nicht darüber nachdenken wie man ein Problem löst,
sondern wie man es verursachen kann...

[Kettwiesel]

Hallo!
Voneinander abweichende Dateiberechtigung (oder Eigentümer)?!


Die Dateiberechtigungen oder der Besitzername der Datei sind nicht in der Datei selbst abgespeichert. Habe es eben zur Sicherheit aber trotzdem überprüft. Die Md5-Prüfsumme ändert sich nicht durch eine Veränderung der Dateiattribute.

[muell200]

1. Suse10.0 (Slick)ist auf partition /dev/hda5 installiert und wird seit ca. 2 Monaten als Internet-System verwendet.
2. Suse10.0 (Slick) habe ich jetzt nochmals auf /dev/hda7 installiert.


hallo

von der gleichen installation-quelle?

[Kettwiesel]

Die gleiche CD, das gleiche Laufwerk.
Das CD-Laufwerk ist 100% o.k. Die CD ebenso.
Lesefehler der CD schließe ich nahezu aus.

Mehrere Dateien (nicht alle) im Verzeichniss /bin sind nicht identisch, die nach meiner Logik identisch sein müssten. Alle weisen eine vom Muster
ähnliche Abweichung auf.

Systemausgaben beim Vergleich der "ls" Dateien :

linux:/system1/bin # ls -l ls
-rwxr-xr-x 1 root root 87996 2005-10-08 16:06 ls
linux:/system1/bin # ls -l /system2/bin/ls
-rwxr-xr-x 1 root root 87996 2005-10-08 16:06 /system2/bin/ls
linux:/system1/bin # md5sum ls
9016c568d30822e5410e35ede9acfc02 ls
linux:/system1/bin # md5sum /system2/bin/ls
a04d40f3c5a22d33959f113168f9a60d /system2/bin/ls
linux:/system1/bin # cmp -l ls /system2/bin/ls
3157 372 112
3158 224 310
3159 4 151
3177 115 236
3178 225 310
3179 4 151
3197 102 223
3198 225 310
3199 4 151
3217 372 112
3218 224 310
3219 4 151
3237 372 112
3238 224 310
3239 4 151
3257 372 112
3258 224 310
3259 4 151
3277 27 147
3278 225 310
3279 4 151

Wie kann ich die Abweichungen genauer untersuchen ?

[PierreS]

Prüfe doch mal die md5sum der jeweiligen rpm-Pakete und ob die Dateien in den Paketen mit denen auf der Platte identisch sind.

[MiGo]

Und versuchs mal bei beiden mit "ls --version"; vielleicht wars auch einfach ein Update :)

[tomes]

Also von den coreutils gibt es fuer 10.0 auf alle Faelle einen Patch/Update. Von 5.3.0-20 auf 5.3.0-20.2
(http://ftp.tu-ilmenau.de/Mirrors/ftp.suse.com/i386/update/10.0/patches/)
In diesem Paket ist unteranderem auch ls
vollstaendige Liste findest du in der Paketbeschreibung im Yast zu coreutils.

Also mach mal jeweils einfach ein
# rpm -qa | grep coreutils

Ein
# ls --version
wird nicht viel bringen, da die verwendete Version immer 5.3.0 sein sollte ;)

tomes

[Kettwiesel]

Prüfe doch mal die md5sum der jeweiligen rpm-Pakete und ob die Dateien in den Paketen mit denen auf der Platte identisch sind.

linux:/ # rpm --root=/system1 --query --dump coreutils
...
...
/bin/ls 86280 1128780388 21871575ad45922a7ef7f06e2b58d93a 0100755 root root 0 0 0 X
...
...
linux:/ # md5sum /system1/bin/ls
9016c568d30822e5410e35ede9acfc02 /system1/bin/ls

(Prüfsumme ist nicht identisch.)



Also mach mal jeweils einfach ein
# rpm -qa | grep coreutils


linux:/ # rpm --root=/system1 --query coreutils
coreutils-5.3.0-50
linux:/ # rpm --root=/system2 --query coreutils
coreutils-5.3.0-50

Möchte mich für die Tips bedanken.
verstehe zur Zeit aber nur noch Bahnhof. :-/
Ich muss nochmal darauf hinweisen, dass es sich
bei system1 und system2 nicht um die "normale" opensuse10.0 handelt, sondern um die (experimentelle) Super/Slick Version. Ändert aber doch nichts daran (?), dass die gleiche Version von der Datei "ls" im Paket "Coreutils"
auf system1 und system2 unterschiedlich sind.

[Kettwiesel]

Die "Unstimmigkeiten" liegen wahrscheinlich an der Slick - Version
von Suse. Die Programme werden in dieser Version statisch gegen
Bibliotheken (Libraries) gelinkt (prelinked).
Ich vermute jetzt einfach mal, dass bei Veränderungen (Updates) von "Bibliotheken" im System, auch die Dateien verändert werden, die gegen diese Bibliotheken "prelinked" sind.