Исходное сообщение
"Релиз FreeBSD 8.4" Отправлено AlexAT, 12-Июн-13 12:56
> Ага и трой будет возить с собой все исходники всех версий ... Не надо возить с собой исходники всех версий. Достаточно знать более-менее уникальный участок кода для внедрения, а их - over 9000. Далее можно сымитировать работу :) или просто не дать себя обнаружить. Но даже этого просто тупо не нужно. Юзерспейсовый софт, работающий в инфицированной системе, в принципе не может определить наличие нормального kernel-mode руткита. Почему? Да потому, что для проверки он использует вызовы ядра, которые могут возвращать вполне нормальные значения. Юзерспейсовый софт просто не узнает, что его /bin/bash подменен руткитом, поскольку при открытии /bin/bash он будет видеть именно содержимое "правильного" /bin/bash. Несмотря на то, что на диске лежит нечто иное. И когда ты при обновлении перезапишешь /bin/bash - руткит аккуратненько положит его к себе, и будет тебе отдавать при запросе. А на деле - там будет лежать всё тот же код руткита.