src/rootcheck/db/rootkit_trojans.txt

   1 # @(#) $Id: ./src/rootcheck/db/rootkit_trojans.txt, 2012/04/26 dcid Exp $
   2
   3 #
   4 # rootkit_trojans.txt, (C) Daniel B. Cid
   5 # Imported from the rootcheck project.
   6 # Some entries taken from the chkrootkit project.
   7 #
   8 # Lines starting with '#' are not going to be read (comments).
   9 # Blank lines are not going to be read too.
  10 #
  11 # Each line must be in the following format:
  12 # file_name !string_to_search!Description
  13
  14 # Commom binaries and public trojan entries
  15 ls          !bash|^/bin/sh|dev/[^clu]|\.tmp/lsfile|duarawkz|/prof|/security|file\.h!
  16 env                     !bash|^/bin/sh|file\.h|proc\.h|/dev/|^/bin/.*sh!
  17 echo            !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cl]|^/bin/.*sh!
  18 chown           !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cl]|^/bin/.*sh!
  19 chmod           !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cl]|^/bin/.*sh!
  20 chgrp           !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cl]|^/bin/.*sh!
  21 cat                     !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cl]|^/bin/.*sh!
  22 bash            !proc\.h|/dev/[0-9]|/dev/[hijkz]!
  23 sh                      !proc\.h|/dev/[0-9]|/dev/[hijkz]!
  24 uname           !bash|^/bin/sh|file\.h|proc\.h|^/bin/.*sh!
  25 date            !bash|^/bin/sh|file\.h|proc\.h|/dev/[^cln]|^/bin/.*sh!
  26 du                      !w0rm|/prof|file\.h!
  27 df                      !bash|^/bin/sh|file\.h|proc\.h|/dev/[^clurdv]|^/bin/.*sh!
  28 login           !elite|SucKIT|xlogin|vejeta|porcao|lets_log|sukasuk!
  29 passwd          !bash|file\.h|proc\.h|/dev/ttyo|/dev/[A-Z]|/dev/[b-s,uvxz]!
  30 mingetty        !bash|Dimensioni|pacchetto!
  31 chfn            !bash|file\.h|proc\.h|/dev/ttyo|/dev/[A-Z]|/dev/[a-s,uvxz]!
  32 chsh            !bash|file\.h|proc\.h|/dev/ttyo|/dev/[A-Z]|/dev/[a-s,uvxz]!
  33 mail            !bash|file\.h|proc\.h|/dev/[^nu]!
  34 su                      !/dev/[d-s,abuvxz]|/dev/[A-D]|/dev/[F-Z]|/dev/[0-9]|satori|vejeta|conf\.inv!
  35 sudo            !satori|vejeta|conf\.inv!
  36 crond           !/dev/[^nt]|bash!
  37 gpm                     !bash|mingetty!
  38 ifconfig        !bash|^/bin/sh|/dev/tux|session.null|/dev/[^cludisopt]!
  39 diff            !bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
  40 md5sum          !bash|^/bin/sh|file\.h|proc\.h|/dev/|^/bin/.*sh!
  41 hdparm          !bash|/dev/ida!
  42 ldd                     !/dev/[^n]|proc\.h|libshow.so|libproc.a!
  43
  44
  45 # Trojan entries for troubleshooting binaries
  46
  47 grep        !bash|givemer|/dev/!
  48 egrep           !bash|^/bin/sh|file\.h|proc\.h|/dev/|^/bin/.*sh!
  49 find            !bash|/dev/[^tnlcs]|/prof|/home/virus|file\.h!
  50 lsof            !/prof|/dev/[^apcmnfk]|proc\.h|bash|^/bin/sh|/dev/ttyo|/dev/ttyp!
  51 netstat         !bash|^/bin/sh|/dev/[^aik]|/prof|grep|addr\.h!
  52 top                     !/dev/[^npi3st%]|proc\.h|/prof/!
  53 ps                      !/dev/ttyo|\.1proc|proc\.h|bash|^/bin/sh!
  54 tcpdump         !bash|^/bin/sh|file\.h|proc\.h|/dev/[^bu]|^/bin/.*sh!
  55 pidof           !bash|^/bin/sh|file\.h|proc\.h|/dev/[^f]|^/bin/.*sh!
  56 fuser           !bash|^/bin/sh|file\.h|proc\.h|/dev/[a-dtz]|^/bin/.*sh!
  57 w                       !uname -a|proc\.h|bash!
  58
  59
  60 # Trojan entries for common daemons
  61
  62 sendmail        !bash|fuck!
  63 named           !bash|blah|/dev/[0-9]|^/bin/sh!
  64 inetd           !bash|^/bin/sh|file\.h|proc\.h|/dev/[^un%]|^/bin/.*sh!
  65 apachectl       !bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
  66 sshd            !check_global_passwd|panasonic|satori|vejeta|\.ark|/hash\.zk|bash|/dev[a-s]|/dev[A-Z]/!
  67 syslogd         !bash|/usr/lib/pt07|/dev/[^cln]]|syslogs\.h|proc\.h!
  68 xinetd          !bash|file\.h|proc\.h!
  69 in.telnetd      !cterm100|vt350|VT100|ansi-term|bash|^/bin/sh|/dev[A-R]|/dev/[a-z]/!
  70 in.fingerd      !bash|^/bin/sh|cterm100|/dev/!
  71 identd          !bash|^/bin/sh|file\.h|proc\.h|/dev/[^n]|^/bin/.*sh!
  72 init            !bash|/dev/h
  73 tcpd            !bash|proc\.h|p1r0c4|hack|/dev/[^n]!
  74 rlogin          !p1r0c4|r00t|bash|/dev/[^nt]!
  75
  76
  77 # Kill trojan
  78
  79 killall         !/dev/[^t%]|proc\.h|bash|tmp!
  80 kill            !/dev/[ab,d-k,m-z]|/dev/[F-Z]|/dev/[A-D]|/dev/[0-9]|proc\.h|bash|tmp!
  81
  82
  83 # Rootkit entries
  84 /etc/rc.d/rc.sysinit    !enyelkmHIDE! enye-sec Rootkit
  85
  86
  87 # ZK rootkit (http://honeyblog.org/junkyard/reports/redhat-compromise2.pdf)
  88 /etc/sysconfig/console/load.zk   !/bin/sh! ZK rootkit
  89 /etc/sysconfig/console/load.zk   !usr/bin/run! ZK rootkit
  90
  91
  92 # Modified /etc/hosts entries
  93 # Idea taken from:
  94 # http://blog.tenablesecurity.com/2006/12/detecting_compr.html
  95 # http://www.sophos.com/security/analyses/trojbagledll.html
  96 # http://www.f-secure.com/v-descs/fantibag_b.shtml
  97 /etc/hosts  !^[^#]*avp.ch!Anti-virus site on the hosts file
  98 /etc/hosts  !^[^#]*avp.ru!Anti-virus site on the hosts file
  99 /etc/hosts  !^[^#]*awaps.net! Anti-virus site on the hosts file
 100 /etc/hosts  !^[^#]*ca.com! Anti-virus site on the hosts file
 101 /etc/hosts  !^[^#]*mcafee.com! Anti-virus site on the hosts file
 102 /etc/hosts  !^[^#]*microsoft.com! Anti-virus site on the hosts file
 103 /etc/hosts  !^[^#]*f-secure.com! Anti-virus site on the hosts file
 104 /etc/hosts  !^[^#]*sophos.com! Anti-virus site on the hosts file
 105 /etc/hosts  !^[^#]*symantec.com! Anti-virus site on the hosts file
 106 /etc/hosts  !^[^#]*my-etrust.com! Anti-virus site on the hosts file
 107 /etc/hosts  !^[^#]*nai.com! Anti-virus site on the hosts file
 108 /etc/hosts  !^[^#]*networkassociates.com! Anti-virus site on the hosts file
 109 /etc/hosts  !^[^#]*viruslist.ru! Anti-virus site on the hosts file
 110 /etc/hosts  !^[^#]*kaspersky! Anti-virus site on the hosts file
 111 /etc/hosts  !^[^#]*symantecliveupdate.com! Anti-virus site on the hosts file
 112 /etc/hosts  !^[^#]*grisoft.com! Anti-virus site on the hosts file
 113 /etc/hosts  !^[^#]*clamav.net! Anti-virus site on the hosts file
 114 /etc/hosts  !^[^#]*bitdefender.com! Anti-virus site on the hosts file
 115 /etc/hosts  !^[^#]*antivirus.com! Anti-virus site on the hosts file
 116 /etc/hosts  !^[^#]*sans.org! Security site on the hosts file
 117
 118 # EOF #