Aufmacher News

Unhide soll Rootkits aufdecken

Jan Rähm
30.06.2008

Verstecken Rootkits Ports und Prozesse, stoßen herkömmliche Analysemethoden schnell an Grenzen. Eine Möglichkeit, die unsichtbaren Eindringlinge zu finden soll die Software Unhide zur Verfügung stellen.

Unhide nutzt dazu verschiedene Methoden: Um versteckte Prozesse zu finden, überprüft das Programm einerseits den Output des PS-Befehls und den Inhalt des "/proc"-Verzeichnisses. Zum Anderen erfolgt ein Vergleich der Ausgabe von "/bin/ps" und der System-Calls. Als Drittes überprüft die Software mit einer Brute-Force-Methode alle Prozess-IDs.

Versteckte TCP- und UDP-Ports versucht Unhide aufzudecken, indem es alle TCP/UDP-Ports indentifiziert, auf denen zwar gelauscht wird, die aber nicht vom Netstat-Befehl gelistet werden. Auch hier kommt eine Brute-Force-Methode zum Einsatz.

Die jüngst veröffentlichte Version 20080519 schließt einen Race-Condition-Fehler, der falsche positive Testergebnisse erzeugte. Außerdem fügte das Projekt Manpages ein. Unhide steht auf der Website des Projekts zum Download bereit. Fertige Pakete befinden sich im Debian Sid-Verzeichnis und im Repository des kommenden Ubuntu 8.10 (Intrepid Ibex). Das Forensik-Tool ist unter der GPL-Version 3 lizenziert.

Ähnliche Artikel

Kommentare

Aktuelle Fragen

Anfänger Frage
Klaus Müller, 24.05.2017 14:25, 2 Antworten
Hallo erstmal. Habe von linux nicht so viel erfahrung müsste aber mal ne doofe frage stellen. A...
Knoppix-Live-CD (8.0 LU-Edition) im Uefiboot?
Thomas Weiss, 26.04.2017 20:38, 3 Antworten
Hallo, Da mein Rechner unter Windows 8.1/64Bit ein Soundproblem hat und ich abklären wollte, o...
Grub2 reparieren
Brain Stuff, 26.04.2017 02:04, 5 Antworten
Ein Windows Update hat mir Grub zerschossen ... der Computer startet nicht mehr mit Grub, sondern...
Linux open suse 2,8
Wolfgang Gerhard Zeidler, 18.04.2017 09:17, 2 Antworten
Hallo.bitte um Hilfe bei. Code fuer den Rescue-login open suse2.8 Mfg Yvo
grep und sed , gleicher Regulärer Ausdruck , sed mit falschem Ergebnis.
Josef Federl, 15.04.2017 00:23, 1 Antworten
Daten: dlfkjgkldgjldfgl55.55klsdjfl jfjfjfj8.22fdgddfg {"id":"1","name":"Phase L1","unit":"A",...