Cómo comprobar malware y rootkits en el servidor Linux

Los gusanos, virus, malware y rootkits son una preocupación para todos los administradores de servidores. Cuando el sistema está infectado, puede recopilar información confidencial y causar daños económicos.

1. Diferenciar entre virus, troyanos, gusanos y rootkits

Afortunadamente, existen muchas herramientas que lo ayudan a verificar los servidores Linux en busca de malware y rootkits. Este artículo proporcionará algunas de las mejores opciones para ayudarlo a lidiar con estos ciber enemigos.

1. El 7 mejor software antivirus gratuito para Linux
2. Instalar antivirus en Ubuntu
3. 7 mejores programas antivirus para Ubuntu

1. Almeja AV

Este software antivirus de línea de comandos está diseñado para integrarse estrechamente con servidores de correo electrónico y está disponible en todos los sistemas, incluidas distribuciones de Linux prominentes como SuSE, Fedora y Ubuntu.

Instalar este software en Ubuntu es fácil con el siguiente comando:

 sudo apt install clamav clamav-daemon 

Después de la instalación, Clam AV se puede utilizar desde la terminal para todo el sistema y para limpiar todos los archivos infectados. Además, Clam AV también proporciona potentes utilidades de verificación en tiempo real y seguimiento de fuentes.

Para realizar una prueba simple para el sistema de archivos del servidor, use el siguiente comando en el directorio raíz:

 clamscan -r -i 

El comando anterior le pedirá a Clam AV que realice un escaneo recursivo (verifique el archivo en el archivo) e imprima el documento infectado en el terminal. Sin embargo, antes de ejecutar este comando, debe darle a Clam AV suficiente tiempo para instalar su base de datos de firmas de virus en la máquina. Puede cancelar el servicio y reiniciarlo manualmente con el siguiente comando:

 sudo systemctl stop clamav-freshclam.service 

Seguido por el comando:

 sudo freshclam 

Para eliminar automáticamente los archivos de virus del sistema durante el análisis, utilice el siguiente comando:

 clamscan -r -i --remove 

2. Chkrootkit

Esta herramienta realiza varias pruebas para detectar los módulos del kernel que han descargado malware, gusanos y rootkits.

Para Ubuntu, esta herramienta se encuentra en la tienda de software oficial, use el siguiente comando para instalarla:

 sudo apt install chkrootkit 

A diferencia de Clam AV, chkrootkit es una herramienta pasiva y carece de funcionalidad para actuar sobre las amenazas detectadas. Debe buscar y eliminar manualmente los archivos sospechosos encontrados por esta herramienta en el sistema de archivos del servidor. Por lo tanto, debe copiar la salida para referencia posterior.

Para ejecutar esta herramienta, use el siguiente comando:

 sudo chkrootkit 

3. AYUDA

El nombre de esta herramienta significa Entorno de detección de intrusiones avanzado, una alternativa completamente gratuita a la herramienta analógica Tripwire.

AIDE permite un monitoreo cercano de los archivos del sistema para monitorear el tiempo y cómo se modifican o se accede a ellos de otras maneras. Esta herramienta es muy fácil de instalar desde la tienda de software oficial de Ubunu con el comando apt.

 sudo apt install aide 

Para completar el proceso de instalación, debe configurar Postfix a través de las opciones. Para examinar estos elementos, puede utilizar el Tab o las teclas de flecha y presione Iniciar sesión Seleccione. Postfix se utiliza para enviar información a direcciones de correo electrónico según el tiempo definido.

La configuración de AIDE requiere el procesamiento de archivos en las siguientes direcciones:

 /var/lib/aide /etc/aide 

Primero, cree la base de datos y el archivo de configuración ejecutando el siguiente comando:

 sudo aideinit 

Una vez completado, este proceso detiene la base de datos y el archivo de configuración creado en / var / lib / aide / con los nombres aide.db.new y aide.conf.autogenerated. Ambos deben copiarse en aide.db y aide.conf, respectivamente, para que funcionen correctamente.

Cree fácilmente una copia del archivo de base de datos con el nuevo nombre con el siguiente comando:

 sudo cp /var/lib/aide/aide.db.new /var/lib/aide/aide.db 

Antes de cambiar el nombre y copiar el archivo de configuración, actualícelo con el siguiente comando:

 sudo update-aide.conf 

Después de actualizar el archivo de configuración, cópielo en el directorio correcto con el siguiente comando:

 sudo cp /var/lib/aide/aide.conf.autogenerated /etc/aide/aide.conf 

AIDE ahora trabajará en el servidor y monitoreará activamente el HASHED del sistema de archivos que creó.

Puede configurar AIDE para que no escanee carpetas específicas, se ejecute periódicamente y muchas otras cosas modificando el archivo de configuración. Sin embargo, con el siguiente comando, puede ver suficiente información sobre la salida del sistema:

 aide -c /etc/aide/aide.conf -C 

AIDE es más eficaz cuando se accede a su configuración desde direcciones de solo lectura porque los rootkits pueden permitir a los atacantes editar archivos.

Las herramientas mencionadas en este artículo lo ayudarán a escanear servidores Linux en busca de malware y rootkits utilizando una variedad de técnicas. Los rootkits son la amenaza digital más difícil de resolver, pero pueden evitarse con el software adecuado.