Kolikrát musíme hlasitě vykřiknout "to dělal ňákej amatér", aby ten rootkit přestal fungovat? A kdy ho začnou odhalovat antiviry? Tedy spíše kdy si začnou lidé instalovat antiviry?
Antivir pomůže díky skenování streamů při síťovém spojení a skenování souborů při jejich vytváření a modifikaci. Samozřejmě jen pokud zná signaturu viru, případně pokud se strefí heuristika.
WTF? Jak on může vědět jakej mám config pro své jádro? :-D Nehledě na to, že sem si napsal jednoduchej C program, kterej mi spocita hashe vsech /lib/*, /{,s}bin/* a /etc/* souboru. Vzhledem k tomu, ze je to muj vlastni program, tak mi to ten vir tezko odstreli :D ;)
To je hezké, ale jak se mi dostane do initrd? :D BTW, verzi mu nestačí trefit, kernel kontroluje svůj postfix (2.6.38-BLABLABLA) a postfix modulu. Ikdyž by to obešel, tak je dost malá šance, že by se to loadlo a necrashnulo.
Kernelový rootkit typicky hookuje volání API, která operují se soubory. Z toho důvodu váš program nejspíš neuvidí soubory vlastního root kitu, příslušné soubory v rc.d nebo řádky v nich. Dobře napsaný rootkit nelze z běžícího systému detekovat.
