پیدا کردن و پاکسازی فایل های آلوده یک سرور لینوکس هک شده ( Tornkit ) !

Tornkit یک روت کیت میباشد که مجموعه ای از برنامه هایی می باشد که توسط هکر برای داشتن دسترسی غیر مجاز در سیستم عامل های لینوکس استفاده می شود که در عین حال در سعی بر مخفی کردن خود در این نوع سیستم عامل ها دارد.

t0rn rootkit برای سرعت عمل طراحی شده است و منظور از این سرعت عمل , سرعت عمل در نصب شدن ماشین هایی است که از سیستم عامل لینوکس استفاده می کنند و این بخاطر نیاز نداشتن به مهارت بالا در امر نصب و راه اندازی این روت کیت می باشد.

تنها دستوری که این روت کیت برای اجرا شدن نیاز دارد ./t0rn می باشد که در عین حال به نصب پاک کنند لاگ ها مربوط به نصب برنامه که t0rnsb نامیده میشود , اسنیفر که t0rns نامیده میشود و تجزیه کننده لاگ ها که tornp نامیده میشود اقدام می کند.

برای جلوگیری از این روت کیت و باسازی سرور هک شده خود مراحل زیر را طی کنید:

در سرورهایی که از کنترل پنل cPanel استفاده می کنند اول به Web Host Manager یا همان WHM با استفاده از یوزر Root وارد شوید .

روی Tweak Settings کلیک کنید و گزینه ی Allow cPanel Users To Reset Their Password Via Mail را غیر فعال کنید و حال شرع به پاکسازی می کنیم.

قدم اول : برنامه chkrootkit را اجرا کنید و نتیجه :

Checking `ifconfig'... INFECTED
Checking `login'... INFECTED
Checking `pstree'... INFECTED
and also:
Checking `lkm'... You have X process hidden for ps command
Warning: Possible LKM Trojan installed

قدم دوم : /etc/init.d/syslog restart و نتیجه :

Shutting down kernel logger: [ OK ]
Shutting down system logger: [ OK ]
Starting system logger: [FAILED]
Starting kernel logger: [ OK
8-x
ادامه در ایول دات نت