Ebury-Rootkit auf eurem VDR gefunden? Keine Panik!

gda · 15. Februar 2014

Ihr habt das hier gelesen und wollt jetzt euren VDR neu installieren?
Ihr seht bei euch etwas vergleichbares?

Code

# ipcs -m


------ Gemeinsamer Speicher: Segmente --------
Schlüssel shmid      Besitzer   Rechte     Bytes      nattch     Status      
0x008a6d31 589824     root       666        3760128    1

und ihr besitzt einen Sundtek-DVB-Stick? Dann stoppt mal den VDR und den Sundtek-Treiber.
Seht ihr jetzt immer noch etwas, dann dürft ihr langsam unruhig werden.
Macht mal.

Code

# ipcs -mp


------ Shared Memory Creator/Last-op PIDs --------
shmid      Besitzer   cpid       lpid      
589824     root       2724       2724

Und sucht die cpid:

Code

# ps -ef|grep 2724


root      2724     1  0 18:53 ?        00:00:07 /opt/bin/mediasrv -d --pluginpath=/opt/bin
root      2725  2724  0 18:53 ?        00:00:00 /opt/bin/mediasrv -d --pluginpath=/opt/bin

Bei mir ist es das Erwartete und bei euch?

Gerald

ATD · 15. Februar 2014

Zitat von gda

Bei mir ist es das Erwartete und bei euch?

Was ist das "Erwartete"?

Code

root@Patty:~# ipcs -m


------ Gemeinsamer Speicher: Segmente --------
Schlüssel shmid      Besitzer   Rechte     Bytes      nattch     Status
0x0000141c 7536640    vdr        600        488        1
0x0000141d 7569409    vdr        600        32768      1
0x00000405 7602178    vdr        600        488        1
0x00000406 7634947    vdr        600        32768      1

Ich habe nur das zu bieten. Sollte ich jetzt unruhig werden?

Albert

gda · 15. Februar 2014

Zitat von ATD

Ich habe nur das zu bieten. Sollte ich jetzt unruhig werden?

Ich habe natürlich angenommen du liest alles was ich verlinkt habe und ich muss nicht alles wiederholen. Weder stehen die Rechte auf 666 noch liegt die Größe bei 3MB.

Gerald

ATD · 15. Februar 2014

Zitat von gda

Ich habe natürlich angenommen du liest alles was ich verlinkt habe und ich muss nicht alles wiederholen.

Gerald, das Leben ist hart, aber wenigstens ungerecht.

Albert

Sundtek · 15. Februar 2014

Das ist in unserem Fall nur für die Videodaten auf die soll jeder zugreifen können (vom Treiber zur Applikation machen wir zero-copy also kopieren nicht zusätzlich, bei AnalogTV wäre das nochmal gut 170mbit nur Daten kopieren, bei DVB ist es weniger aber der Mechanismus ist bei uns ähnlich). Ja sogar schreiben oder modifizieren ist in Ordnung.
Der VDR hat die Digital TV Segmente auch reingemapped wenn man sich das genauer ansieht. Das bezieht sich natürlich nur auf die Sundtek Treiber. Andere Applikationen können natürlich andere Dinge machen die nicht so gewünscht sind.

Das Schlimmste was man sich damit antun kann ist das man bei AnalogTV vielleicht einen Smiley in's Bild zeichnen kann und bei DVB die Daten stören kann, aber da reicht es eigentlich wenn man bei DVB-C die Antenne zieht oder bei DVB-T die Antenne abschirmt.

massi · 21. Februar 2014

Bei mir sieht das so aus:

Code

------ Gemeinsamer Speicher: Segmente --------
Schlüssel shmid      Besitzer   Rechte     Bytes      nattch     Status      
0x00000000 0          root       777        4096       2                       
0x00000000 32769      root       777        2359296    2                       
0x00000000 65538      root       777        4096       2                       
0x00000000 98307      root       777        8192       2                       
0x00000000 131076     root       777        12288      2                       
0x00000000 163845     root       777        16384      2                       
0x00000000 196614     root       777        20480      2                       
0x00000000 229383     root       777        24576      2                       
0x00000000 262152     root       777        28672      2                       
0x00000000 294921     root       777        32768      2                       
0x00000000 327690     root       777        36864      2                       
0x00000000 360459     root       777        40960      2                       
0x00000000 393228     root       777        45056      2                       
0x00000000 425997     root       777        49152      2                       
0x00000000 458766     root       777        53248      2                       
0x00000000 491535     root       777        57344      2                       
0x00000000 524304     root       777        61440      2                       
0x00000000 557073     root       777        65536      2                       
0x00000000 589842     root       777        69632      2                       
0x00000000 622611     root       777        73728      2                       
0x00000000 655380     root       777        77824      2                       
0x00000000 688149     root       777        81920      2                       
0x00000000 720918     root       777        86016      2                       
0x00000000 753687     root       777        90112      2                       
0x00000000 786456     root       777        94208      2                       
0x00000000 819225     root       777        98304      2                       
0x00000000 851994     root       777        102400     2                       
0x00000000 884763     root       777        106496     2                       
0x00000000 917532     root       777        110592     2                       
0x00000000 950301     root       777        114688     2                       
0x00000000 983070     root       777        118784     2                       
0x00000000 1015839    root       777        122880     2                       
0x00000000 1048608    root       777        126976     2                       
0x00000000 1081377    root       777        131072     2

Alles anzeigen

Die 777 beunruhigt mich jetzt irgendwie, eine Suche nach der cpid ergibt irgendwie nix brauchbares

Code

ipcs -mp
------ Shared Memory Creator/Last-op PIDs --------
shmid      Besitzer   cpid       lpid      
0          root       1589       1589      
32769      root       1589       1589      
...

Code

ps -ef | grep 1589
massi    15167 14343  0 00:18 pts/6    00:00:00 grep --color=auto 1589

Muß ich mir Sorgen machen?

massi

Ebury-Rootkit auf eurem VDR gefunden? Keine Panik!

Jetzt mitmachen!

Teilen