Paranoid - курс от Codeby Security School

Представляем вашему вниманию курс от команды codeby - "Комплекс мер по защите персональных данных, анонимности в интернете и не только" Подробнее ...


Руткиты (rootkit) — это вредоносные программы, созданные для получения доступа уровня рута, при этом они прячут своё присутствие от антивирусных программ. Обычно руткиты устнавливаются на вашу систему троянами, содержащимися вместе с загруженными файлами, через известные системные уязвимости, подозрительными приложениями к письмам, при веб-сёрфинге или просто после взлома пароля.

Для Linux есть несколько инструментов сканирования руткитов, которые помогают противостоять известным или потенциальным руткитам. Один из таких инструментов выявления руткитов называется Rootkit Hunter (rkhunter). Здесь я опишу, как сканировать системы Linux на наличие руткитов с помощью rkhunter.

Установка rkhunter на Linux

Для установки rkhunter на Debian, Ubuntu или Linux Mint:

Для установки rkhunter на Fedora:

Для установки rkhunter на CentOS или RHEL сначала установите репозиторий Repoforge на свою систему, а затем используйте команду yum.

Выполняем поиск руткитов на Linux

Для выполнения сканирования на руткиты на вашей системе просто запустите следующее.

Когда rkhunter установлена, она может выполнить серию тестов, таких как:

  • Сравнение SHA-1 хешей системных исполнимых файлов с известными хорошими значениями, содержащимися в базе данных.
  • Проверка на известные файлы и каталоги руткитов, а также строки руткитов.
  • Выявление зловредного кода, включая проверку на логирование бэкдоров, лог-файлов сниферов и других подозрительных директорий.
  • Выполнение специфичных для троянов проверок, таких как анализ включённых сервисов xinetd.
  • Проводится проверка сетевых портов и интерфейсов.
  • Проводится проверка системного бута.
  • Проводится проверка групп и аккаунтов.
  • Проводится проверка системных конфигурационных файлов.
  • Проводится проверка файловой системы.

Следующие скриншоты показывают Rootkit Hunter в действии.


Codeby Security School от Сodeby

Мы запустили свою онлайн школу по информационной безопасности. Защита персональных данных, анонимность в сети интернет, настройка виртуальных машин, безопасная передача данных, анти форензика и еще много всего полезного в курсе Paranoid


01

02

Когда сканирование завершено, rkhunter сохраняет результат в /var/log/rkhunter.log. Вы можете отобразить выданные предупреждения следующим образом.

Rootkit Hunter полагается на набор базы данных файлов для выявления руткитов. Если вы хотите проверить, актуальна ли база, просто запустите rkhunter с опцией "—update". Если есть новые версии файлов баз данных, он автоматически получит актуальные файлы используя wget.

rkhunter может быть запущен как cronjob с опцией "—cronjob", в этом случае rkhunter выполнит сканирование в неинтерактивном режиме и сохранит результаты сканирования в /var/log/rkhunter.log для оффлайн проверки.

Будучи инструментов сканирования руткитов, rkhunter может только выявлять руткиты, но не удалять их. Так что следует делать, если rkhunter сообщает о наличии руткита или показывает какие-либо предупреждения? Во-первых, нужно проверить, является ли это ложной тревогой или нет. Предупреждения могут быть вызваны просто тем, что осуществляется обновление ПО, изменёнными системными настройками или другими легитимными изменениями исполнимых файлов. Если вы не уверены, поищите помощь из ресурсов, такой вариант как пользовательская почтовая рассылка rkhunter может быть одной из опций.

Если ваша система действительно заражена руткитом, попытки удалить руткит самостоятельно могут быть не лучшим вариантом, если вы не эксперт по безопасности, который способен диагностировать весь механизм, вектор атаки и путь проникновения конкретного руткита.

Когда руткит найден на вашей системе, лучший вариант в этой ситуации, пожалуй, это отключение скомпрометированной системы от внешнего мира, а затем перенос всех ваших данных с этой системы. Когда вы это выполняете, не делайте резервных копий каких-либо исполнимых файлов, которые вы не можете подтвердить, что они чистые.


Безопасная сделка с гарантом Сodeby

Гарант является доверенным посредником между Участниками при проведении сделки.​ Услуга сайта «Проведение сделок через Гаранта» предоставляется всем зарегистрированным пользователям codeby.net Подробнее ...


Похожие темы

rFactor 12 — гоночный симулятор на Linux... За последние годы ситуация с играми на Linux изменилась кардинально, причём в лучшую сторону. И это радует — ведь пользователи Linux тоже...
Pentest Windows Server 2008 Итак, для начала немного информации, атака будет производиться используя уязвимости версии протокола SMB 2.2 SMB (Server Message Block) — сетевой...
portSpider-быстрый сканер Сегодня обзор будет посвящён сканеру, которого выделяет среди других немного отличающийся функционал. К моему удивлению, к инструментарию Blackarch он...
Инструмент PwdLogy (Social Engineering) В этой теме я хочу показать интересный инструмент, касающийся не столько пентеста, сколько социальной инженерии. Он поможет нам создавать файлы с ...
Как клонировать существующие образы виртуальной ма... Я хотел клонировать мою виртуальную машину Debian или Ubuntu Linux KVM для тестирования. Как клонировать существующие образы виртуальной машины в KVM?...