Как сканировать Linux на руткиты (rootkits) с помощью rkhunter | WebWare.biz

# Как сканировать Linux на руткиты (rootkits) с помощью rkhunter

08.03.201527.06.2015 Alexey Безопасность

Руткиты (rootkit) — это вредоносные программы, созданные для получения доступа уровня рута, при этом они прячут своё присутствие от антивирусных программ. Обычно руткиты устнавливаются на вашу систему троянами, содержащимися вместе с загруженными файлами, через известные системные уязвимости, подозрительными приложениями к письмам, при веб-сёрфинге или просто после взлома пароля.

Для Linux есть несколько инструментов сканирования руткитов, которые помогают противостоять известным или потенциальным руткитам. Один из таких инструментов выявления руткитов называется Rootkit Hunter (rkhunter). Здесь я опишу, как сканировать системы Linux на наличие руткитов с помощью rkhunter.

## Установка rkhunter на Linux

Для установки rkhunter на Debian, Ubuntu или Linux Mint:

    $ sudo apt-get install rkhunter

Для установки rkhunter на Fedora:

    $ sudo yum install rkhunter

Для установки rkhunter на CentOS или RHEL сначала установите репозиторий Repoforge на свою систему, а затем используйте команду yum.

    $ sudo yum install rkhunter

## Выполняем поиск руткитов на Linux

Для выполнения сканирования на руткиты на вашей системе просто запустите следующее.

    $ sudo rkhunter -c

Когда rkhunter установлена, она может выполнить серию тестов, таких как:

- Сравнение SHA-1 хешей системных исполнимых файлов с известными хорошими значениями, содержащимися в базе данных.
- Проверка на известные файлы и каталоги руткитов, а также строки руткитов.
- Выявление зловредного кода, включая проверку на логирование бэкдоров, лог-файлов сниферов и других подозрительных директорий.
- Выполнение специфичных для троянов проверок, таких как анализ включённых сервисов xinetd.
- Проводится проверка сетевых портов и интерфейсов.
- Проводится проверка системного бута.
- Проводится проверка групп и аккаунтов.
- Проводится проверка системных конфигурационных файлов.
- Проводится проверка файловой системы.

Следующие скриншоты показывают Rootkit Hunter в действии.

Когда сканирование завершено, rkhunter сохраняет результат в /var/log/rkhunter.log. Вы можете отобразить выданные предупреждения следующим образом.

    $ sudo grep Warning /var/log/rkhunter.log

    [21:33:23] Checking /dev for suspicious file types [ Warning ]
    [21:33:23] Warning: Suspicious file types found in /dev:
    [21:33:23] Checking for hidden files and directories [ Warning ]
    [21:33:23] Warning: Hidden directory found: '/etc/.java: directory '
    [21:33:23] Warning: Hidden directory found: '/dev/.udev: directory '
    [21:33:23] Warning: Hidden file found: /dev/.initramfs: symbolic link to `/run/initramfs'

Rootkit Hunter полагается на набор базы данных файлов для выявления руткитов. Если вы хотите проверить, актуальна ли база, просто запустите rkhunter с опцией "—update". Если есть новые версии файлов баз данных, он автоматически получит актуальные файлы используя wget.

    $ sudo rkhunter --update

rkhunter может быть запущен как cronjob с опцией "—cronjob", в этом случае rkhunter выполнит сканирование в неинтерактивном режиме и сохранит результаты сканирования в /var/log/rkhunter.log для оффлайн проверки.

Будучи инструментов сканирования руткитов, rkhunter может только выявлять руткиты, но не удалять их. Так что следует делать, если rkhunter сообщает о наличии руткита или показывает какие-либо предупреждения? Во-первых, нужно проверить, является ли это ложной тревогой или нет. Предупреждения могут быть вызваны просто тем, что осуществляется обновление ПО, изменёнными системными настройками или другими легитимными изменениями исполнимых файлов. Если вы не уверены, поищите помощь из ресурсов, такой вариант как пользовательская почтовая рассылка rkhunter может быть одной из опций.

Если ваша система действительно заражена руткитом, попытки удалить руткит самостоятельно могут быть не лучшим вариантом, если вы не эксперт по безопасности, который способен диагностировать весь механизм, вектор атаки и путь проникновения конкретного руткита.

Когда руткит найден на вашей системе, лучший вариант в этой ситуации, пожалуй, это отключение скомпрометированной системы от внешнего мира, а затем перенос всех ваших данных с этой системы. Когда вы это выполняете, не делайте резервных копий каких-либо исполнимых файлов, которые вы не можете подтвердить, что они чистые.

Поделиться "Как сканировать Linux на руткиты (rootkits) с помощью rkhunter"

- Facebook
- Twitter
- Google+
- VKontakte
- E-mail

Связанные статьи:

- Как запустить Metasploit Framework в Kali Linux (100%)
- Установка Linux Malware Detect (LMD) на Linux (100%)
- Стресс-тест сети с Low Orbit Ion Cannon (LOIC) (100%)
- В свете новый эксплойтов Linux, аудит безопасности Linux является обязательным! (100%)
- Установка WPScan на Ubuntu (Mint) VPS (100%)
- BruteX: программа для автоматического брутфорса всех служб (RANDOM - 50%)

## 3 Комментарии “Как сканировать Linux на руткиты (rootkits) с помощью rkhunter”

1. Добрый день. Во время установки "rkhunter" подтянул за собой пакет "unhide.rb", а потом его-же обозвал подозрительным:

   /usr/bin/whoami [ OK ]
   /usr/bin/unhide.rb [ Warning ]
   /usr/bin/gawk [ OK ]

   Как так?

   Ответить

   1. Нашел. Наверное, дело вот в чем:

      Unhide.rb is a tentative of rewrite in Ruby of the original Unhide, which
      is written in C. While being much faster, it does not implement all the
      diagnostics of the original version. It is also less secure as it cannot
      be statically compiled.

      Стоит ли заменить ее на оригинальную Unhide? Спасибо.

      Ответить

      1. Действительно, после замены Unhide.rb на оригинал Unhide rkhunter больше не ругается )

         Ответить

### Добавить комментарий Отменить ответ

Ваш e-mail не будет опубликован. Обязательные поля помечены *

Имя *

E-mail *

Сайт

Комментарий

Можно использовать следующие HTML-теги и атрибуты: `<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>`

Получать новые комментарии по электронной почте. Вы можете подписаться без комментирования.

### Бесплатная книга по Kali

Читайте и скачивайте бесплатную книгу по Kali Linux 2.0 на русском языке

### Примечательные статьи:

- Рекомендованные USB беспроводные карты для Kali Linux
- Что почитать о компьютерной безопасности в 2015 году
- Как получить короткий и красивый e-mail
- Хостинг со сканером вирусов
- Свобода самовыражения с новыми доменными зонами
- Брошенные сайты с ТИЦ и PR, свободные премиум домены

### Популярные записи

Установка Apache, PHP, MySQL, phpMyAdmin 19 Авг , 2014
Как установить Kali Linux: подробная инструкция для установки на компьютер и в виртуальную машину 19 Окт , 2014
Взлом Wi-Fi пароля (WPA/WPA2), используя pyrit и cowpatty в Kali Linux 12 Фев , 2015
Kali Linux 2.0 с ядром 4.0 – Установка проприетарного драйвера NVIDIA – ускоренный видеодрайвер NVIDIA для Linux 12 Фев , 2015
MiAl’s Server Pack (полностью настроенный и рабочий сервер Apache + MySQL + PHP + phpMyAdmin — WAMP) (v. 0.3.1) 20 Авг , 2014
Модификация форка Reaver — t6x — для использования атаки Pixie Dust 04 Май , 2015

### Свежие записи

- PW-Inspector: отбираем пароли соответствующие критериям
- Решение ошибки dpkg: warning: ‘ldconfig’ not found in PATH or not executable, возникающей при установке пакетов в Kali Linux
- Решение проблемы с ошибкой E: Could not get lock /var/lib/dpkg/lock — open (11: Resource temporarily unavailable) в Kali Linux
- Брутфорсинг веб-сайтов с Hydra (часть вторая инструкции по Hydra)
- THC-Hydra: очень быстрый взломщик сетевого входа в систему (часть первая)

### Свежие комментарии

- DocenT к записи Взлом Wifi WPA/WPA2 паролей с использованием Reaver
- ss к записи Взлом Wifi WPA/WPA2 паролей с использованием Reaver
- Спасибо тебе большое! к записи Книга «Тестирование на проникновение с Kali Linux» 2.0 на русском языке
- Денис к записи Установка Nvidia + Bumblebee + CUDA на Kali Linux 1.1.0 для машин с включённым Optimus
- Денис к записи Как установить Kali Linux: подробная инструкция для установки на компьютер и в виртуальную машину

### Рубрики

- CSS
- JavaScript
- PHP
- SEO
- WordPress
- Без рубрики
- Безопасность
- Настройка сети
- Ни web'ом единым
- Новости
- Плагины
- Программирование (кодинг)
- Программы для сервера
- Работа и заработок в Интернете
- Ресурсы
- Создание сайтов
- Фотографии

### Вступайте в официальную группу

### Счётчики