Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

resultat chkrootkit et rkhunter

gdebutant

hello,
j'ai contrasté des bizarreries dans le comportement de mon pc alors j'ai lancé chkootkit et voici ce que j'ai obtenu, mais je ne sais pas comment interprété le résultat.

chkrootkit
/usr/lib/python2.7/dist-packages/PyQt4/uic/widget-plugins/.noinit

Warning: /sbin/init INFECTED
eth0: PACKET SNIFFER(/sbin/dhclient[4455])
user truc deleted or never logged from lastlog!
The tty of the following user process(es) were not found
in /var/run/utmp !
! RUID PID TTY CMD
! root 1153 tty7 /usr/bin/X -core :0 -seat seat0 -auth /var/run/lightdm/root/:0 -nolisten tcp vt7 -novtswitch

rkhunter
Warning: The command '/usr/bin/unhide.rb' has been replaced by a script: /usr/bin/unhide.rb: Ruby script, ASCII text
Warning: User 'postfix' has been added to the passwd file.
Warning: Group 'postfix' has been added to the group file.
Warning: Group 'postdrop' has been added to the group file.
Warning: Suspicious file types found in /dev:
/dev/.udev/rules.d/root.rules: ASCII text
Warning: Hidden directory found: '/dev/.udev: directory '
Warning: Hidden file found: /dev/.initramfs: symbolic link to `/run/initramfs'

Je pense qu'il y a un pb, pouvez-vous me décrypter le résultat et dois-je faire ? réinstaller ?
je débute sous ubuntu (linux quoi).
Merci d'avance.

mikael8349

Hi !

Pour :

gdebutant a écrit chkrootkit
/usr/lib/python2.7/dist-packages/PyQt4/uic/widget-plugins/.noinit

Warning: /sbin/init INFECTED

Il s'agit d'un faux positif https://bugs.launchpad.net/cyborg/+bug/454566

Sinon veille à ce que tes "prises d'empreintes" soit à jour, par exemple pour rkhunter :

sudo rkhunter --versioncheck
sudo rkhunter --update

Pour ton résultat avec rkhunter, je n'ai pas eu le temps de jeter un oeil 🙁

Tiens nous au courant

[supprimé]

eth0: PACKET SNIFFER(/sbin/dhclient[4455])

Plusieurs commande permettent d'obtenir un bail dhcp: dhclient, pump, ifup. La plupart des distributions utilisent par défaut la commande dhclient...
C'est donc un faux positif.

Concernant Postfix, c'est le logiciel de transfert de courriel (MTA) par défaut d'Ubuntu/Debian. Si tu n'es pas serveur ou si tu n'en a pas besoin, déinstalle le car la encore il s'agit d'un faux positif.
Une remarque globale cependant, tu utilises des outils qui sont conçus pour des administrateurs réseaux, ce qui implique donc de bien comprendre le fonctionnement du système sur lesquels ils sont installés...! Ce n'est pas bon pour toi de te faire peur tout seul 😃
Pas de panique, Gnu/Linux n'est pas une passoire du moment ou tu appliques les correctifs/maj de sécurité pour ta distribution et que tu installes des logiciels à partir de dépôts reconnus comme sûr (donc ceux de ta distribution, évites les PPA)...
Enfin, dernier conseil, évite les logiciels proprios car on ne sait pas ce que fait réellement le programme.
Bon après midi.