☰

¿Cómo reparar archivos binarios potencialmente infectados?

tag-icon • tag-icon ubuntu security software-installation binary
¿Cómo reparar archivos binarios potencialmente infectados?

Cuando instalé las actualizaciones en mi computadora (Ubuntu 14.04), escribí la contraseña, pensando que se me solicitaba una actualización periódica, pero cuando noté un comportamiento extraño y fallaba en ese momento, sospeché actividad maliciosa. Verifiqué si había algunos archivos modificados.

find /sbin -mtime -1

y me mostró:

/sbin

/sbin/ldconfig.real

/sbin/ldconfig

Luego verifiqué si había rootkits con:

chkrootkit | grep INFECTED

y no mostró nada

Sin embargo, me preocupo por ldconfig ldconfig.reallos archivos, y por esoEstoy buscando métodos para actualizarlos de tal manera que se eliminen los últimos cambios (posible actividad maliciosa). Cuando intento reinstalar ldconfig, aparece este error al eliminar conapt-get

E: No se puede localizar el paquete ldconfig

Respuesta1

Ambos archivos provienen delibc-bin

$ dpkg -S /sbin/ldconfig{,.real}
libc-bin: /sbin/ldconfig
libc-bin: /sbin/ldconfig.real

Entonces podrías reinstalar con:

sudo apt install --reinstall libc-bin

Pero si algo tan fundamental como libc está realmente infectado, no podrás eliminarlo de un sistema activo. Podría trivialmente parchear cualquier cosa que se vincule a él para simplemente reinfectar su computadora. Probablemente podrías montarlo mediante chroot desde un LiveCD y reinstalar todo... O simplemente reinstalarlo desde cero y copiar tus datos (comprobados y desinfectados).

¿Pero estás realmente infectado en primer lugar? No sé por qué crees que lo eres. Ha habido parches de libc recientemente (generalmente son IME bastante frecuentes), por lo que no estoy seguro de que lo que estás viendo sea otra cosa que algo estándar.

Realmente creo que estás uniendo innecesariamente lo que probablemente sea una mala actualización, un error aleatorio, un servicio que se recargó en una nueva versión de libc, etc., en un escenario de desastre. Especialmente cuando hablamos de "algunas advertencias" sin saber cuáles eran. Las advertencias ocurren todo el tiempo.

Sólo tienes algunas opciones:

  • Audite los archivos desde un entorno seguro (es decir, un Live CD/USB). Si el tuyo dice ser la misma versión quelos originalespero sus md5sum(o sha256sum, por paranoico que quieras ser) difieren, tienes un problema.
  • Asuma el desastre y reinstale.
  • Toma la pastilla azul, termina la historia, te despiertas en tu cama y crees lo que quieras creer. La ignorancia es felicidad, ¿verdad?

información relacionada