rootkit

例えば、クラッカーが一度侵入に成功したシステムを今後も利用できるよう、容易ログイン出来るような仕組み(バックドア)を作ることがある。

しかし、UNIXであればpsコマンドやlsコマンドなどで調べると、怪しげなプロセスなりファイルなりがあることが、(正当な)管理者にわかってしまう。

そのため、クラッカーはこういったファイルを表示しないように細工したpsやlsコマンドを本来のそれらのコマンドの変わりに置くことがある。これらのコマンド群のセットをrootkitと呼ぶ。

ログの改竄以外に改造されたシステムコマンド(netstat、ls、ps、find、locate、syslogdなど)が含まれ、またバックドア、IRCd、他のホストやネットワークを攻撃するためのネットワーク盗聴用スニファーやDoSツールなどが含まれることもある。

代表的なものに、次のようなものがある。

• LinuxRootkit
• t0rnkit

一方、これらがインストールされているかどうかチェックするためのツールとして、次のようなものが知られる。

• chkrootkit

最近ではカーネルを細工するタイプのrootkitも出現している。普通のrootkitであればlsやps、netstatなどのコマンドをリムーバブルディスクから起動すれば正しい表示が得られるが、カーネルが細工されているとその方法でもrootkitを検知できない。