{"id":3196,"date":"2023-09-11T12:47:54","date_gmt":"2023-09-11T10:47:54","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=3196"},"modified":"2023-09-11T12:49:45","modified_gmt":"2023-09-11T10:49:45","slug":"rkhunter-und-chkrootkit-rootkit-jaeger-unter-linux","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/11\/rkhunter-und-chkrootkit-rootkit-jaeger-unter-linux\/","title":{"rendered":"rkhunter und chkrootkit – Rootkit-J\u00e4ger unter Linux"},"content":{"rendered":"\n

Normale Desktop-Benutzer werden sich unter Linux kaum vor Rootkits f\u00fcrchten m\u00fcssen – diese sind zwar unter Linux entstanden, so gesehen eine Linux-Entwicklung, aber zu Hause sind diese unter Windows. Linux-Desktop-Benutzer sind einfach zu wenig lohnende Ziele, sie haben zu unterschiedliche Distributionen, um einen Rootkit so einfach wie unter Windows zu installieren. Auf einem Linux-Server ist dies nat\u00fcrlich schon um vieles anders – meist sind diese dauerhaft mit dem Internet verbunden und es gibt nicht so viele unterschiedliche Server-Distributionen. Auf einem Linux-Server sollte man also schon etwas mehr auf die Sicherheit achten.

Um unter Linux nach Rootkits zu suchen, nutzt man am besten die beiden Anwendungen „Chkrootkit<\/strong>“ und „Rkhunter<\/strong>„.<\/p>\n\n\n\n

Chkrootkit und RKhunter installieren<\/h2>\n\n\n\n


Unter auf Debian basierenden Linux-Distributionen installieren Sie diese beiden Anwendungen am einfachsten \u00fcber die Paket-Verwaltung<\/a> durch die Pakete „chkrootkit<\/strong>“ und „rkhunter<\/strong>„.

Rkhunter nutzen

Beide Anwendungen werden mit administrativen<\/a> Rechten am Terminal<\/a> genutzt, so nat\u00fcrlich auch Rkhunter – nach der Installation gehen wir erst einmal auf die Konfiguration der Software ein, wir nutzen hier entweder den einfach zu nutzenden Editor Nano oder den erweiterten Vi oder Vim:<\/p>\n\n\n\n

nano \/etc\/rkhunter.conf\nvi \/etc\/rkhunter.conf\nvim \/etc\/rkhunter.conf<\/code><\/pre>\n\n\n\n
Hier finden wir unter anderem die Zeile:<\/p>\n\n\n\n
#Language=en<\/code><\/pre>\n\n\n\n
Entfernen Sie vor der Zeile das Doppelkreuz und ersetzen „en<\/strong>“ durch „de<\/strong>„, spricht Rkhunter Deutsch:<\/p>\n\n\n\n
Language=de<\/code><\/pre>\n\n\n\n
Dies k\u00f6nnen wir auch in folgender Zeile tun – es wird aus:<\/p>\n\n\n\n
UPDATE_LANG=\"en\"<\/code><\/pre>\n\n\n\n
folgende Zeile:<\/p>\n\n\n\n
UPDATE_LANG=\"de\"<\/code><\/pre>\n\n\n\n
Ersetzen wir:<\/p>\n\n\n\n
#APPEND_LOG=0<\/code><\/pre>\n\n\n\n
durch:<\/p>\n\n\n\n
APPEND_LOG=1<\/code><\/pre>\n\n\n\n
speichert Rkhunter auch seinen Log. Tun wir dasselbe bei:<\/p>\n\n\n\n
#PKGMR=NONE<\/code><\/pre>\n\n\n\n
Und ersetzen dies durch:<\/p>\n\n\n\n
PKGMGR=DPKG<\/code><\/pre>\n\n\n\n
\u00fcberpr\u00fcft Rkhunter auch die DEB-Paket-Hashes. Sie finden noch viele weitere Einstellungen, alle sind sehr gut verst\u00e4ndlich beschrieben. Haben wir die Konfiguration gespeichert, erstellen wir erst einmal die Datenbank:<\/p>\n\n\n\n
rkhunter --propupd<\/code><\/pre>\n\n\n\n
Dieser Befehl dient auch zum Aktualisieren der Rootkit-Signaturen. Anschlie\u00dfend k\u00f6nnen Sie einen Suchlauf starten:<\/p>\n\n\n\n
rkhunter -c<\/code><\/pre>\n\n\n\n
Die Software durchsucht jetzt das System nach Rootkits, bricht zwischendurch ab, um Ihnen Zwischenergebnisse zu liefern:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Mit Eingabe<\/strong> fahren Sie fort. Warnungen sind rot gekennzeichnet:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Dies sind jedoch nur Warnungen – Rkhunter zeigt etwa auch eine ver\u00e4nderte „\/etc\/passwd<\/em>“ – dies kann auch durch ein Updates des Systems geschehen. Zuletzt zeigt die Software eine \u00dcbersicht.<\/p>\n\n\n\n
Chkrootkit nutzen<\/h2>\n\n\n\n
Es ist immer besser zwei Anwendungen zu nutzen, in diesem Fall nutzen wir hier Chkrootkit. Sie starten Sie Software mit dem Befehl:<\/p>\n\n\n\n
chkrootkit<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Erstver\u00f6ffentlichung: So 14. Mai 2023, 07:36<\/strong><\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    3    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    0<\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Normale Desktop-Benutzer werden sich unter Linux kaum vor Rootkits f\u00fcrchten m\u00fcssen – diese sind zwar unter Linux entstanden, so gesehen eine Linux-Entwicklung, aber zu Hause sind diese unter Windows. Linux-Desktop-Benutzer sind einfach zu wenig lohnende Ziele, sie haben zu unterschiedliche Distributionen, um einen Rootkit so einfach wie unter Windows zu installieren. Auf einem Linux-Server ist […]<\/p>\n","protected":false},"author":1,"featured_media":3201,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72],"tags":[],"class_list":["post-3196","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=3196"}],"version-history":[{"count":1,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196\/revisions"}],"predecessor-version":[{"id":3203,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196\/revisions\/3203"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/3201"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=3196"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=3196"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=3196"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}