• 4 июля стартует курс «Python для Пентестера ©» от команды The Codeby

    Понятные и наглядные учебные материалы с информацией для выполнения ДЗ; Проверка ДЗ вручную – наставник поможет улучшить написанный вами код; Помощь преподавателей при выполнении заданий или в изучении теории; Групповой чат в Telegram с другими учениками, проходящими курс; Опытные разработчики – команда Codeby School, лидер по информационной безопасности в RU-сегменте

    Запись на курс до 15 июля. Подробнее ...

  • 11 июля стартует «Курс «SQL-injection Master» ©» от команды The Codeby

    За 3 месяца вы пройдете путь от начальных навыков работы с SQL-запросами к базам данных до продвинутых техник. Научитесь находить уязвимости связанные с базами данных, и внедрять произвольный SQL-код в уязвимые приложения.

    На последнюю неделю приходится экзамен, где нужно будет показать свои навыки, взломав ряд уязвимых учебных сайтов, и добыть флаги. Успешно сдавшие экзамен получат сертификат.

    Запись на курс до 20 июля. Подробнее ...

Статья Как сканировать Linux на руткиты (rootkits) с помощью rkhunter

Руткиты (rootkit) — это вредоносные программы, созданные для получения доступа уровня рута, при этом они прячут своё присутствие от антивирусных программ. Обычно руткиты устнавливаются на вашу систему троянами, содержащимися вместе с загруженными файлами, через известные системные уязвимости, подозрительными приложениями к письмам, при веб-сёрфинге или просто после взлома пароля.

Для Linux есть несколько инструментов сканирования руткитов, которые помогают противостоять известным или потенциальным руткитам. Один из таких инструментов выявления руткитов называется . Здесь я опишу, как сканировать системы Linux на наличие руткитов с помощью rkhunter.

Установка rkhunter на Linux

Для установки rkhunter на Debian, Ubuntu или Linux Mint:
Код:
$ sudo apt-get install rkhunter
Для установки rkhunter на Fedora:
Код:
$ sudo yum install rkhunter
Для установки rkhunter на CentOS или RHEL сначала установите репозиторий Repoforge на свою систему, а затем используйте команду yum.
Код:
$ sudo yum install rkhunter
Выполняем поиск руткитов на Linux

Для выполнения сканирования на руткиты на вашей системе просто запустите следующее.
Код:
$ sudo rkhunter -c
Когда rkhunter установлена, она может выполнить серию тестов, таких как:
  • Сравнение SHA-1 хешей системных исполнимых файлов с известными хорошими значениями, содержащимися в базе данных.
  • Проверка на известные файлы и каталоги руткитов, а также строки руткитов.
  • Выявление зловредного кода, включая проверку на логирование бэкдоров, лог-файлов сниферов и других подозрительных директорий.
  • Выполнение специфичных для троянов проверок, таких как анализ включённых сервисов xinetd.
  • Проводится проверка сетевых портов и интерфейсов.
  • Проводится проверка системного бута.
  • Проводится проверка групп и аккаунтов.
  • Проводится проверка системных конфигурационных файлов.
  • Проводится проверка файловой системы.
Следующие скриншоты показывают Rootkit Hunter в действии.

30423


30424


Когда сканирование завершено, rkhunter сохраняет результат в /var/log/rkhunter.log. Вы можете отобразить выданные предупреждения следующим образом.
Код:
$ sudo grep Warning /var/log/rkhunter.log

[21:33:23] Checking /dev for suspicious file types [ Warning ]
[21:33:23] Warning: Suspicious file types found in /dev:
[21:33:23] Checking for hidden files and directories [ Warning ]
[21:33:23] Warning: Hidden directory found: '/etc/.java: directory '
[21:33:23] Warning: Hidden directory found: '/dev/.udev: directory '
[21:33:23] Warning: Hidden file found: /dev/.initramfs: symbolic link to `/run/initramfs'
Rootkit Hunter полагается на набор базы данных файлов для выявления руткитов. Если вы хотите проверить, актуальна ли база, просто запустите rkhunter с опцией "–update". Если есть новые версии файлов баз данных, он автоматически получит актуальные файлы используя wget.
Код:
$ sudo rkhunter --update
rkhunter может быть запущен как cronjob с опцией "–cronjob", в этом случае rkhunter выполнит сканирование в неинтерактивном режиме и сохранит результаты сканирования в /var/log/rkhunter.log для оффлайн проверки.

Будучи инструментов сканирования руткитов, rkhunter может только выявлять руткиты, но не удалять их. Так что следует делать, если rkhunter сообщает о наличии руткита или показывает какие-либо предупреждения? Во-первых, нужно проверить, является ли это ложной тревогой или нет. Предупреждения могут быть вызваны просто тем, что осуществляется обновление ПО, изменёнными системными настройками или другими легитимными изменениями исполнимых файлов. Если вы не уверены, поищите помощь из ресурсов, такой вариант как может быть одной из опций.

Если ваша система действительно заражена руткитом, попытки удалить руткит самостоятельно могут быть не лучшим вариантом, если вы не эксперт по безопасности, который способен диагностировать весь механизм, вектор атаки и путь проникновения конкретного руткита.

Когда руткит найден на вашей системе, лучший вариант в этой ситуации, пожалуй, это отключение скомпрометированной системы от внешнего мира, а затем перенос всех ваших данных с этой системы. Когда вы это выполняете, не делайте резервных копий каких-либо исполнимых файлов, которые вы не можете подтвердить, что они чистые.
 
  • Нравится
Реакции: Vertigo

The Codeby

ООО Кодебай
30.12.2015
4 615
6 633
НИКОЛАЙ
17.04.2015 в 02:28
Добрый день. Во время установки "rkhunter" подтянул за собой пакет "unhide.rb", а потом его-же обозвал подозрительным:
Код:
    /usr/bin/whoami                                       [ OK ]
    /usr/bin/unhide.rb                                     [ Warning ]
    /usr/bin/gawk                                            [ OK ]
Как так?

НИКОЛАЙ
17.04.2015 в 02:36
Нашел. Наверное, дело вот в чем:
Код:
Unhide.rb is a tentative of rewrite in Ruby of the original Unhide, which
is written in C. While being much faster, it does not implement all the
diagnostics of the original version. It is also less secure as it cannot
be statically compiled.
Стоит ли заменить ее на оригинальную Unhide? Спасибо.

НИКОЛАЙ
17.04.2015 в 02:42
Действительно, после замены Unhide.rb на оригинал Unhide rkhunter больше не ругается )

АНДРЕЙ
18.11.2015 в 21:33
Подскажите пожалуйста, при проверке на руткиты, выдает это :
Код:
Performing trojan specific checks
Checking for enabled inetd services                      [ Warning ]
Что это? Как исправить?
 
Мы в соцсетях: