Как проверить Linux на руткит

Хотя Linux безопасен и прекрасен, но даже в нем периодически находят критические уязвимости. Период между публикацией данных о дыре и распространением заплатки через службу обновлений используется кибернегодяями для установки на компьютеры честных линуксоидов зловредного программного обеспечения. И последние исследования показывают: зараженных компьютеров с Linux всё больше.

Главным образом, устанавливаются так называемые руткиты (root kit). Руткит — это программа, которая маскирует свое присутствие на компьютере и открывает через сетевой порт root-доступ. Через этот скрытый канал хакер может использовать ваш компьютер для совершения уголовно наказуемых деяний, а отвечать придется вам. Вот почему так важно периодически проверять свой компьютер на наличие руткитов.

Установка chkrootkit

Казалось бы, а в чем проблема? apt-get install chkrootkit и вперед! Но разработчики руткитов этот алгоритм давно предусмотрели. Руткит модифицирует «антивирусную» программу, чтобы та не выдала его присутствие в системе. Следовательно, остается только один работающий способ провести проверку: загрузить исходники, сверить контрольную сумму, скомпилировать и запустить.

1. Заходим на сайт http://www.chkrootkit.org/download/и загружаем два файла: исходники в tar.gz (chkrootkit latest Source tarball) и текстовой файл с контрольной суммой MD5 (chkrootkit tarball's MD5 signature).
2. Запускаем md5sum и в качестве аргумента передаем имя скаченного архива. Сверяем контрольные суммы. Эта простая операция позволяет убедиться, что код chrootkit не был модифицирован руткитом во время загрузки или сохранения файла.
3. Распаковываем архив: tar xf chrootkit.tar.gz.
4. Компилируем: make.
5. Запускаем проверку: ./chrootkit.

Проверка заключает в следующем:

• сначала chkrootkit проверит системные файлы (/bin/* и /usr/bin/*) на предмет несанкционированной модификации;
• потом программа проверит по списку наличие известных зловредов;
• затем chrootkit проверит систему на подозрительную активность (например, сетевая карта в promisc-режиме);
• и так далее.

При обнаружении проблем программа предложит либо выкорчевать руткит, либо выдаст информацию, которая поможет вручную удалить вредоносное ПО. После проверки можно просто удалить директорию с распакованным chrootkit.