Rootkit-ek keresése Rootkit Hunter-rel

PCLinuxOS Magazine – 2006. szeptember

Írta: magian

Az Internet vad és veszélyes hely is lehet. Mi, Linux-használók általában védettek vagyunk a vírus- és rosszindulatú fertőzések legrosszabbjaitól, de a túlságos magabiztosság időnként a biztonság hamis érzetét keltheti. A Linux-on is lehet rootkit telepítve.

Kérded, mi az a rootkit?

„Rootkit a szoftvereszközök egyfajta együttese, amelynek célja folyamatok, fájlok és rendszeradatok elrejtésével segíteni a behatolót a rendszerhez való hozzáférésben, a rejtettség fenntartása mellett. Rootkit-ek számos operációs rendszerhez léteznek, mint például Linux-hoz, Solaris-hoz és a Microsoft Windows x86-os verzióihoz. A rootkit-ek gyakran az operációs rendszer részeit módosítják, illetve meghajtó, vagy kernel modulként telepítik magukat.”

az idézet a http://en.wikipedia.org/wiki/Rootkits fordítása.

Szerencsére van egy nagyszerű szoftverünk ezeknek az aljas behatolóknak a felderítésére. Rootkit Hunter-nek hívják és Michael Boelen készítette. Csak néhány a Rootkit Hunter kiemelkedő tulajdonságai közül:

• MD5 hash összehasonlítás;

• a rootkit-ek által használt alapvető fájlok keresése;

• bináris fájlok hibás jogosultságai;

• az LKM és KLD modulokban gyanús karaktersorok keresése;

• rejtett fájlok keresése;

• opcionális keresés egyszerű szöveg- és bináris fájlokban;

• a Rootkit Hunter GPL licencen alapul és bárki szabadon használhatja.

Most megmutatom, hogyan telepítsd a Rootkit Hunter-t a PCLinuxOS tárolójából, frissítsd és futtass vele egy teljes rendszerellenőrzést. Ezeket rendszergazdaként kell végrehajtanod.

apt-get megkeresi és telepíti a Rootkit Hunter-t tehát:

apt-get install rkhunter

Ezután frissítjük a programot:

rkhunter --update

A Rootkit Hunter letölti és telepíti az aktuális aláírásokat.

Ezután futtatunk egy teljes ellenőrzést:

rkhunter --checkall

A Rootkit Hunter az ellenőrzések egész sorát futtatja le a rendszereden és a folyamat ideje alatt tájékoztat az előrehaladásról. Amikor kész, az ellenőrzés eredményéről ilyen összesítést ad:

Az rkhunter-t argumentum nélkül futtatva kilistázza a lehetőségeket. A Rootkit Hunter hozzáadható a shell szkript-hez és cronjob-ként is futtatható. Most van még egy okod, hogy a Microsoft Windows-t futtató barátaidnál sokkal inkább biztonságban és előbbrevalónak érezd magad.

Rootkit Hunter – http://www.rootkit.nl/