Door Anoniem: Maar de vraag is hoe verberg je met een kernel functie de inhoud van /etc/rc.local???? Dat is niet zo heel moeilijk. Als je het Kaspersky artikel leest, daar staat 't in: In order to hide files and the startup entry, the rootkit hooks the following kernel functions, either by inline hooking or by replacing their addresses in memory with pointers to its own malicious functions: vfs_readdir vfs_read filldir64 filldir Bedenk dat je wel zoiets zou kunnen maken als if ( filename = "/etc/rc.local" ) { if ( line = "insmod blah" ) { next; } else { continue; } else { continue; } De volgende vraag is hoe kun je iets in de root zetten als je geen rechten hebt laat staan iets in de /bin cq /sbin pad zetten zodat het opgestart kan worden door rc.local????? Ook dat is simpel. Wel eens van een local root exploit gehoord? Je weet wel, die bugs die altijd gebagatelliseerd worden omdat ze toch alleen maar "local" werken. Bedenk dat "www" of "nobody" gewoon lokale accounts zijn en ...