Der BSD-Unterbau von Mac OS X macht “endlich” auch Rootkits für den Mac portierbar. Seit der Version 0.46 stellt chkrootkit jedoch zumindest eine mögliche Gegenmaßnahme dar.
In den MacPorts gibt es zwar auch ein chkrootkit, dass man einfach mit “sodo port install chkrootkit” installieren kann. Allerdings würde ich ja als Angreifer erst einmal die MacPorts anpassen, so dass chkrootkit mich nicht entdeckt. Insofern bin ich ein Freund von folgendem Vorgehen:
- Sourcecode von http://www.chkrootkit.org/ laden
- auspacken mittels “tar xzf chkrootkit.tar.gz”
- im Makefile gibt es eine Zeile, die “#STATIC=”, die man auskommentieren soll (“#” weg). Diese ist nicht zu verfehlen, weil da gross “MacOS X” drüber steht.
- “make” tippen
- “sodo chkrootkit” aufrufen
Wer es richtig machen möchte, installiert sich ein minimales Mac OS X auf einer alten externen USB-Platte (Da muss nur der Compiler mit bei sein) und bootet von dort, nur um sich das chkrootkit zu übersetzen. Die anderen Platten kann man dann via Option “-r ‘/Volumes/Meine Echte Rootpartition'” prüfen lassen.