Ubuntu-fr

gaoule

virus??!!

Bonjour!
Je sais qu'il n'y a logiquement pas de virus sur linux mais ce qui est arrivé tout à l'heure y ressemble pourtant beaucoup, la fenêtre d'un document à extraire s'est multipliée sur mon écran j'ai voulu redémarrer et là écran noir. A ce moment apparait la petite fenêtre où l'on met son mot de passe en cas de changement d'utilisateur, cette case se rempli seule  là nouveau bureau  pour un "guest" (ce qui était marqué à la place de gaoule mon nom d'utilisateur).
J'éteins et je redémarre, et là plus rien, je retrouve mon bureau. C'est quand même plus que bizarre et là je ne sais pas quoi faire! Y a il des antivirus ou y a t il la possibilté de scanner l'ordi pour voir ce qui se passe?
merci d'avance pour votre aide!!

mjdon

Re : virus??!!

A priori, c'est effectivement une cochonnerie. Après, tant que tu n'as pas rentré ton mot de passe, je ne pense pas que l'ordi soit infecté. Par contre ce serait bien de scanner l'archive dont tu parles. Pour des antivirus fonctionnant sous linux, on t'en propose ici: http://doc.ubuntu-fr.org/antivirus mais je ne suis pas sur que ça aidera beaucoup. Est ce que tu pourrais nous transmettre le fichier à l'origine du problème?

wido

Re : virus??!!

Bonjour,
ça m'étonnerait que ce soit un virus, je dirais plus à un bug graphique ou encore le coup de compiz avec ses effets 3D, où à une touche de clavier longtemps enclenché faisant tout buggé?

si tu n'es pas convaincu par ce que je viens de dire il existe des antivirus qui analysent les virus pour windows étant donné que sous Linux c'est quasi rare.
http://doc.ubuntu-fr.org/antivirus

---

Archlinux | Reddit | ODROID-XU4

f.x0

Re : virus??!!

Bonjour gaoule,

Ça peut faire penser aussi à un rootkit.

Si tu veux tester, essaies Rkhunter
http://doc.ubuntu-fr.org/rkhunter

Dernière modification par f.x0 (Le 11/07/2011, à 22:50)

---

SOPI

gaoule

Re : virus??!!

bonjour!
alors j'ai essayé rkhunter et ça donne ça:
One or more warnings have been found while checking the system.
Please check the log file (/var/log/rkhunter.log)
j'ai lu sur le forum qu'on pouvait utiliser les commandes sudo su open/var/log/rkhunter.log et sudo gedit/var/log/rkhunter.log mais ça ne fonctionne pas, vous avez une idée sur la question?
merci!!

mjdon

Re : virus??!!

Ca m'étonne qu'il y ai besoin de sudo pour lire un fichier log. En tout cas, il faut un espace entre la commande et le fichier à lire:

gedit /var/log/rkhunter.log

et si ça ne marche pas:

sudo gedit /var/log/rkhunter.log

De façon générale, pense à poster les messages d'erreur quand tu en as.

gaoule

Re : virus??!!

super! la bonne commande était sudo gedit /var/log/rkhunter.log

A vu de nez le problème est par là et j'avoue ne pas trop connaitre la marche à suivre ensuite ...
Performing system boot checks
[09:13:51] Info: Starting test name 'startup_files'
[09:13:51]   Checking for local host name                    [ Found ]
[09:13:51] Info: Starting test name 'startup_malware'
[09:13:51]   Checking for system startup files               [ Found ]
Performing system boot checks
[09:13:51] Info: Starting test name 'startup_files'
[09:13:51]   Checking for local host name                    [ Found ]
[09:13:51] Info: Starting test name 'startup_malware'
[09:13:51]   Checking for system startup files               [ Found ]
Performing system boot checks
[09:13:51] Info: Starting test name 'startup_files'
[09:13:51]   Checking for local host name                    [ Found ]
[09:13:51] Info: Starting test name 'startup_malware'
[09:13:51]   Checking for system startup files               [ Found ]
Performing system boot checks
[09:13:51] Info: Starting test name 'startup_files'
[09:13:51]   Checking for local host name                    [ Found ]
[09:13:51] Info: Starting test name 'startup_malware'
[09:13:51]   Checking for system startup files               [ Found ]

gaoule

Re : virus??!!

ce sera plus complet comme ça:
Checking the local host...
[09:13:51] Info: Starting test name 'local_host'
[09:13:51]
[09:13:51] Performing system boot checks
[09:13:51] Info: Starting test name 'startup_files'
[09:13:51]   Checking for local host name                    [ Found ]
[09:13:51] Info: Starting test name 'startup_malware'
[09:13:51]   Checking for system startup files               [ Found ]
[09:13:51]   Checking system startup files for malware       [ None found ]
[09:13:52]
[09:13:52] Performing group and account checks
[09:13:52] Info: Starting test name 'group_accounts'
[09:13:52]   Checking for passwd file                        [ Found ]
[09:13:52] Info: Found password file: /etc/passwd
[09:13:52]   Checking for root equivalent (UID 0) accounts   [ None found ]
[09:13:52] Info: Found shadow file: /etc/shadow
[09:13:52]   Checking for passwordless accounts              [ None found ]
[09:13:52] Info: Starting test name 'passwd_changes'
[09:13:52]   Checking for passwd file changes                [ None found ]
[09:13:52] Info: Starting test name 'group_changes'
[09:13:52]   Checking for group file changes                 [ None found ]
[09:13:52]   Checking root account shell history files       [ OK ]
[09:13:52]
[09:13:52] Performing system configuration file checks
[09:13:52] Info: Starting test name 'system_configs'
[09:13:52]   Checking for SSH configuration file             [ Not found ]
[09:13:52]   Checking for running syslog daemon              [ Found ]
[09:13:52]   Checking for syslog configuration file          [ Found ]
[09:13:52] Info: Found syslog configuration file: /etc/syslog.conf
[09:13:52]   Checking if syslog remote logging is allowed    [ Not allowed ]
[09:13:52]
[09:13:52] Performing filesystem checks
[09:13:52] Info: Starting test name 'filesystem'
[09:13:52] Info: SCAN_MODE_DEV set to 'THOROUGH'
[09:13:53]   Checking /dev for suspicious file types         [ Warning ]
[09:13:53] Warning: Suspicious file types found in /dev:
[09:13:53]          /dev/shm/pulse-shm-575797961: data
[09:13:53]          /dev/shm/mono-shared-1000-shared_fileshare-elmerito-Linux-i686-36-12-0: data
[09:13:53]          /dev/shm/mono-shared-1000-shared_data-elmerito-Linux-i686-312-12-0: data
[09:13:53]          /dev/shm/mono.1504: data
[09:13:53]          /dev/shm/pulse-shm-3104016778: data
[09:13:53]          /dev/shm/pulse-shm-3328748124: data
[09:13:53]   Checking for hidden files and directories       [ Warning ]
[09:13:53] Warning: Hidden directory found: /etc/.java
[09:13:53] Warning: Hidden directory found: /dev/.udev
[09:13:53] Warning: Hidden directory found: /dev/.initramfs
[09:13:53] Warning: Hidden file found: /dev/.blkid.tab: ASCII text
[09:14:03]
[09:14:03] Info: Test 'apps' disabled at users request.

gaoule

Re : virus??!!

faut il que j'utilise un antivirus classique pour windows ou y a t il des antivirus spécifique à linux? A votre avis?
merci!

wido

Re : virus??!!

As-tu regardé les deux sujets, il y a un lien vers la doc sur les antivirus.

---

Archlinux | Reddit | ODROID-XU4

Béru

Re : virus??!!

@ wido

C'est quoi les fichiers suspects trouvés dans

[09:13:53]   Checking /dev for suspicious file types         [ Warning ]
[09:13:53] Warning: Suspicious file types found in /dev:
[09:13:53]          /dev/shm/pulse-shm-575797961: data
[09:13:53]          /dev/shm/mono-shared-1000-shared_fileshare-elmerito-Linux-i686-36-12-0: data
[09:13:53]          /dev/shm/mono-shared-1000-shared_data-elmerito-Linux-i686-312-12-0: data
[09:13:53]          /dev/shm/mono.1504: data
[09:13:53]          /dev/shm/pulse-shm-3104016778: data
[09:13:53]          /dev/shm/pulse-shm-3328748124: data

ainsi que le "initramfs"?

---

Actuellement sous buntu sauce mint (bien que pas anglais). Grande préférence pour les versions LTS qui ne changent pas toutes les 5minutes.
Ai testé fedora, debian. Aime bien aussi win, du moment que ça marche. Ai rien contre OSX.
Aime(ait?) bien le forum Ubuntu pour son esprit non élitiste.

wido

Re : virus??!!

Pulse: c'est pulseaudio pour le son
initramfs est une image d'un système minimal initialisé au démarrage du système.
mono

---

Archlinux | Reddit | ODROID-XU4

phiibuntu

Re : virus??!!

bon je sais c'est mal la pub mais personnellement sous linux y a un antivirus que je conseillerai en cas de soucis
il  m'a bien dépanner (pour réparer surtout windows avec une clef usb lol mais bon) c'est bitdefender, la doc ici bitdefender documentation est très bien faite installé en 2 minutes, et rapide pour le scan !
(rkhunter c'est très bien aussi j'ai déjà eu quelques soucis sous ubuntu malgré bon bref y à pas de virus mais y a quand même des risques humf humf humf essaie d'enlever son baillon)

ah je précise je suis plus que ravi d'utiliser ubuntu c'est mon système d'exploitation préféré, pour autant faut être honnête depuis un an y a quand même des précautions à prendre plus systématiquement sous linux désormais.

gaoule

Re : virus??!!

eh bien il y a des trojan en effet je peux les mettre en quarantaine avec bitdefender mais je ne peux pas les désinfecter. De plus bitdefender ne peut pas analyser une partie de /home..: /var, /root, /etc, /lib, /sys, /proc, . ça me dit échec de l'analyse: "permission refusée" ou "code erreur 000001d" ou encore "n'a pas pu accéder au répertoire". Si quelqu'un a d'autres idées, elles sont les bienvenues!!
merci !!

phiibuntu

Re : virus??!!

lance bitdefender avec sudo (dans un terminal) ça ira sans doute mieux pour qu'il puisse intervenir partout .

Béru

Re : virus??!!

eh bien il y a des trojan en effet je peux les mettre en quarantaine avec bitdefender mais je ne peux pas les désinfecter. De plus bitdefender ne peut pas analyser une partie de /home..: /var, /root, /etc, /lib, /sys, /proc, . ça me dit échec de l'analyse: "permission refusée" ou "code erreur 000001d" ou encore "n'a pas pu accéder au répertoire". Si quelqu'un a d'autres idées, elles sont les bienvenues!!
merci !!

Quels sont les chevaux de Troie détectés?

Au fait, attention à /var, /root, /etc, /lib, /sys, /proc: ce sont des répertoires "sensibles". En même temps si un programme douteux s'y est installé, il va falloir aussi passer l'installateur (toi! ) à l'antivirus...

lance bitdefender avec sudo (dans un terminal) ça ira sans doute mieux pour qu'il puisse intervenir partout .

me semble que gksudo est conseillé pour les applis graphiques:
http://doc.ubuntu-fr.org/sudo#quand_doi … udokdesudo

y a quand même des précautions à prendre plus systématiquement sous linux désormais

Il y en a toujours eu (ex: un script contenant

sudo rm -fr /

t'efface le système entier si tu es assez fou pour entrer ton mot de passe...). Linux n'est pas "étanche" aux virus (avec virus au sens de "programme nocif s'exécutant sans l'autorisation explicite de l'utilisateur"). Simplement l'installation de la quasi totalité des programmes implique une action volontaire de l'utilisateur (la célèbre commande "sudo") ET les programmes sont normalement installés à partir de dépots fiables. L'autre aspect est qu'un programme s'exécutant avec des droits utilisateurs limite les dégâts à l'utilisateur et ne touche pas le système.
Maintenant si un utilisateur installe avec des droits de super-utilisateur un programme nocif, le programme pourra faire ce qu'il veut.
Donc 1- savoir lorsque l'on nous demande de rentrer le mot de passe superutilisateur si la demande est légitime, 2- ne pas ajouter n'importe quel dépôt et surtout 3- ne pas installer n'importe quel paquet issu du net (et 4- on es jamais assez parano )

Dernière modification par Béru (Le 25/07/2011, à 10:39)

---

Actuellement sous buntu sauce mint (bien que pas anglais). Grande préférence pour les versions LTS qui ne changent pas toutes les 5minutes.
Ai testé fedora, debian. Aime bien aussi win, du moment que ça marche. Ai rien contre OSX.
Aime(ait?) bien le forum Ubuntu pour son esprit non élitiste.

wido

Re : virus??!!

Je reste dubitatif ce n'est pas parce que tu as un fichier virus qu'il sera actif, j'ai un DVD de virus et c'est pas pour ça que les virus fonctionnent sous Linux.

Aussi on dit souvent que j'ai un virus alors que c'est tout simplement des artefacts graphiques et des mises à jour de programmes qui réinitialisent leur paramètre comme gaoule ->guest (invité en anglais) il est possible que cela provient de GDM (invité de Gnome) rien que le faite d'effacer un petit dossier caché dans le répertoire utilisateur pour effacer les paramètres.

---

Archlinux | Reddit | ODROID-XU4

Titouan

Re : virus??!!

Moi aussi, je pense plutôt à des bugs liés à l'évolution du système.
bug de configuration, graphique ...

Et si le grub plante mystérieusement, que vas-tu penser ?

Sans le savoir, tu es cobaye  
puisque c'est avec l'utilisation et par l'expérience, par tout le monde, que les développeurs rendent le système stable.

Il faut faire attention aux scripts des archives (tar.bz2, tar, gzip, zip ...)  qui sont génériques et pas toujours adaptés à ladite distribution.

En général, c'est plutôt les serveurs qui sont attaqués.