🚀 go-pugleaf

El tal c.b. en la fecha Domingo 09 Mayo 2004 20:33 escribio en 
es.comp.virus el siguiente mensaje:

> On Sun, 09 May 2004 18:53:58 +0200, Lokutus wrote:
> 
> Realmente el tema rootkit es interesante, pero tampoco da para mucho.
> Habria que distinguir entre rootkit para sistemas unix y rootkits para
> windows (o ntrootkits)
> 

    Y son muy diferentes en el mundo UNIX que en Windows.

   En UNIX, son un conjunto de herramientas diferentes, agrupadas
  en un paquete:

    * Xploits para hacerse root teniendo una cuenta local.
    * Zappers para borrar huellas.
    * Puertas traseras para acceder remotamente.
    * Ocultadores que se instalan como m�dulos cargables.

    Es algo as�, como una distribucion, pero de herramientas de 
  asaltantes.

   Por ejemplo, has mencionado el tema del MD5. Hay un art�culo 
  de 2A69 que explica como enga�ar el md5sum mediante un m�dulo 
  cargable de Linux. 
 
    Existen herramientas, que te hacen invisible al "whois" de
   Linux/Unix, o al netstat.

    Cualquier herramienta, que funcione en el espacio de usuario, 
  (no est� en Ring 0), puede ser enga�ada.

    Y eso, tambi�n se puede hacer en Windows.

   Es decir, interceptan ciertas llamadas al sistema, y 
  convierten al sistema operativo, en un sistema mentiroso.

    Lo se, por que yo he desarrollado una herramienta de seguridad
  basada en MD5 para Windows, parecida a cierta aplicaci�n muy famosa, 
  cuyo nombre no recuerdo, y me han demostrado en directo, que mi 
  IDS NO sirve para nada.

  �Por que crees que he abandonado el desarrollo de "La Oreja de 
  Spock"?, si corre en espacio de usuario, se puede enga�ar.

    En Windows, la �nica herramienta de ese tipo que conozco, el 
  NTRootKit, lo �nico que hace es ocultar otras cosas.

    Por ejemplo, todo directorio que comienza por "_ROOT_" ser� 
  completamente invisible.

    Si en ese directorio, metes 500 virus detectables por alg�n 
  antivirus gen�rico, ese antivirus ni se enterar�, por que NO 
  ver� ese directorio.

    Ahora bi�n, ese software, el NTRootkit, no es infalible, y 
  tienen que dejar un par de ficheros en C:\Windows\System, y 
  por lo tanto, pueden ser detectados por cualquier antivirus 
  que cubran el NTRootKit.


> Saludos
> c.b.

-- 

    Lokutus, asimilando la red.