Linux Ebury?

Gian

Executei o chkrootkit hoje de manhã e tive uma surpresa, aparece uma linha com o seguinte resultado:

Searching for Linux/Ebury - Operation Windigo ssh... Possible Linux/Ebury - Operation Windigo installetd

Pesquisei na Internet sobre, e descobri que é um backdoor comum no Linux, encontrei outro código para testar se o PC realmente estava conectado e deu positivo:

gian@gian-C14CU51 ~ $ ssh -G 2>&1 | grep -e illegal -e unknown > /dev/null && echo "System clean" || echo "System infected"

System infected

Como só encontrei tópicos gringos sobre o assunto, não consegui achar a solução, gostaria que alguém me ajudasse aqui.

welblade

Isso é um falso positivo, nas versões mais novas do ssh o comando ssh -G não retorna a string esperada pelo programa "Illegal Operation", ao invés disso retorna string de ajuda, como o chkrootkit não é atualizado já faz um tempo, não acompanhou essa mudança.

Isso foi corrigido dia 16 de agosto no chkrootkit versão v0.50b
https://github.com/Magentron/chkrootkit/commit/89a8559c2b8246975077c7ec7851ee32eed00f41

use o comando chkrootkit -V se não for [b]0.50b[/b] não tem essa correção.

Gian

hmmm, não entendi muito bem, meu rootkit está na versão 0.5.
De qualquer forma, acredito que seja um alarme falso mesmo, obrigado.