{"id":3196,"date":"2023-09-11T12:47:54","date_gmt":"2023-09-11T10:47:54","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=3196"},"modified":"2023-09-11T12:49:45","modified_gmt":"2023-09-11T10:49:45","slug":"rkhunter-und-chkrootkit-rootkit-jaeger-unter-linux","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/09\/11\/rkhunter-und-chkrootkit-rootkit-jaeger-unter-linux\/","title":{"rendered":"rkhunter und chkrootkit – Rootkit-J\u00e4ger unter Linux"},"content":{"rendered":"\n

Normale Desktop<\/a>-Benutzer werden sich unter Linux<\/a> kaum vor Root<\/a>ki<\/a>ts fürchten müssen – diese sind zwar unter Linux<\/a> entstanden, so gesehen eine Linux<\/a>-Entwicklung, aber zu Hause sind diese unter Windows. Linux<\/a>-Desktop<\/a>-Benutzer sind einfach zu wenig lohnende Ziele, sie haben zu unterschiedliche Distribution<\/a>en, um einen Root<\/a>ki<\/a>t so einfach wie unter Windows zu installieren. Auf einem Linux<\/a>-Server<\/a> ist dies natürlich schon um vieles anders – meist sind diese dauerhaft mit dem Internet verbunden und es gibt nicht so viele unterschiedliche Server<\/a>-Distribution<\/a>en. Auf einem Linux<\/a>-Server<\/a> sollte man also schon etwas mehr auf die Sicherheit achten.

Um unter Linux<\/a> nach Root<\/a>ki<\/a>ts zu suchen, nutzt man am besten die beiden Anwendungen „Chkroot<\/a>ki<\/a>t<\/strong>“ und „Rkhunter<\/strong>„.<\/p>\n\n\n\n

Chkrootkit und RKhunter installieren<\/h2>\n\n\n\n


Unter auf Debian<\/a> basierenden Linux<\/a>-Distribution<\/a>en installieren Sie diese beiden Anwendungen am einfachsten über die Paket-Verwaltung<\/a> durch die Paket<\/a>e „chkroot<\/a>ki<\/a>t<\/strong>“ und „rkhunter<\/strong>„.

Rkhunter nutzen

Beide Anwendungen werden mit administrativen<\/a> Rechten am Terminal<\/a> genutzt, so natürlich auch Rkhunter – nach der Installation gehen wir erst einmal auf die Konfiguration<\/a> der Software ein, wir nutzen hier entweder den einfach zu nutzenden Editor<\/a> Nano oder den erweiterten Vi oder Vim:<\/p>\n\n\n\n

nano \/etc\/rkhunter.conf\nvi \/etc\/rkhunter.conf\nvim \/etc\/rkhunter.conf<\/code><\/pre>\n\n\n\n
Hier finden wir unter anderem die Zeile:<\/p>\n\n\n\n
#Language=en<\/code><\/pre>\n\n\n\n
Entfernen Sie vor der Zeile das Doppelkreuz und ersetzen „en<\/strong>“ durch „de<\/strong>„, spricht Rkhunter Deutsch:<\/p>\n\n\n\n
Language=de<\/code><\/pre>\n\n\n\n
Dies können wir auch in folgender Zeile tun – es wird aus:<\/p>\n\n\n\n
UPDATE_LANG=\"en\"<\/code><\/pre>\n\n\n\n
folgende Zeile:<\/p>\n\n\n\n
UPDATE_LANG=\"de\"<\/code><\/pre>\n\n\n\n
Ersetzen wir:<\/p>\n\n\n\n
#APPEND_LOG=0<\/code><\/pre>\n\n\n\n
durch:<\/p>\n\n\n\n
APPEND_LOG=1<\/code><\/pre>\n\n\n\n
speichert Rkhunter auch seinen Log. Tun wir dasselbe bei:<\/p>\n\n\n\n
#PKGMR=NONE<\/code><\/pre>\n\n\n\n
Und ersetzen dies durch:<\/p>\n\n\n\n
PKGMGR=DPKG<\/code><\/pre>\n\n\n\n
überprüft Rkhunter auch die DEB<\/a>-Paket<\/a>-Hashes. Sie finden noch viele weitere Einstellungen, alle sind sehr gut verständlich beschrieben. Haben wir die Konfiguration<\/a> gespeichert, erstellen wir erst einmal die Datenbank<\/a>:<\/p>\n\n\n\n
rkhunter --propupd<\/code><\/pre>\n\n\n\n
Dieser Befehl<\/a> dient auch zum Aktualisieren der Root<\/a>ki<\/a>t-Signaturen. Anschließend können Sie einen Suchlauf starten:<\/p>\n\n\n\n
rkhunter -c<\/code><\/pre>\n\n\n\n
Die Software durchsucht jetzt das System nach Root<\/a>ki<\/a>ts, bricht zwischendurch ab, um Ihnen Zwischenergebnisse zu liefern:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Mit Eingabe<\/strong> fahren Sie fort. Warnungen sind rot gekennzeichnet:<\/p>\n\n\n\n
\"\"<\/figure>\n\n\n\n
Dies sind jedoch nur Warnungen – Rkhunter zeigt etwa auch eine veränderte „\/etc\/passwd<\/em>“ – dies kann auch durch ein Update<\/a>s des Systems geschehen. Zuletzt zeigt die Software eine Übersicht.<\/p>\n\n\n\n
Chkrootkit nutzen<\/h2>\n\n\n\n
Es ist immer besser zwei Anwendungen zu nutzen, in diesem Fall nutzen wir hier Chkroot<\/a>ki<\/a>t. Sie starten Sie Software mit dem Befehl<\/a>:<\/p>\n\n\n\n
chkrootkit<\/code><\/pre>\n\n\n\n
\"\"<\/figure>\n\n\n\n

Erstveröffentlichung: So 14. Mai 2023, 07:36<\/strong><\/p>\n
\r\n    
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    3    <\/span>\r\n<\/div>
\r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
Normale Desktop-Benutzer werden sich unter Linux kaum vor Rootkits f\u00fcrchten m\u00fcssen – diese sind zwar unter Linux entstanden, so gesehen eine Linux-Entwicklung, aber zu Hause sind diese unter Windows. Linux-Desktop-Benutzer sind einfach zu wenig lohnende Ziele, sie haben zu unterschiedliche Distributionen, um einen Rootkit so einfach wie unter Windows zu installieren. Auf einem Linux-Server ist […]<\/p>\n","protected":false},"author":1,"featured_media":3201,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72],"tags":[],"class_list":["post-3196","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=3196"}],"version-history":[{"count":1,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196\/revisions"}],"predecessor-version":[{"id":3203,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/3196\/revisions\/3203"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/3201"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=3196"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=3196"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=3196"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}