Rootkits: wat ze zijn en hoe je ze kunt detecteren in Linux

Het is waarschijnlijk dat een indringer je systeem kan binnensluipen, het eerste dat ze zullen doen is een reeks rootkits installeren. Hiermee krijgt u vanaf dat moment controle over het systeem. Deze genoemde tools vormen een groot risico. Daarom is het uiterst noodzakelijk om te weten waar ze over gaan, hoe ze werken en hoe ze te detecteren.

De eerste keer dat ze het bestaan ​​opmerkten, was in de jaren 90, in het SUN Unix-besturingssysteem. Het eerste dat beheerders opmerkten, was vreemd gedrag op de server. Overmatig gebruikte CPU, tekort aan ruimte op de harde schijf en niet-geïdentificeerde netwerkverbindingen via de opdracht netstat .

ROOTKITS: Wat zijn ze en hoe kunnen ze in Linux worden gedetecteerd

Wat zijn rootkits?

Het zijn tools waarvan het hoofddoel is om zichzelf te verbergen en elke andere instantie te verbergen die de opdringerige aanwezigheid in het systeem onthult. Bijvoorbeeld elke wijziging in processen, programma's, mappen of bestanden. Hierdoor kan de indringer op afstand en onmerkbaar het systeem binnendringen, in de meeste gevallen voor kwaadaardige doeleinden, zoals het extraheren van informatie van groot belang of het uitvoeren van destructieve acties. De naam komt van het idee dat je met een rootkit er na installatie gemakkelijk toegang toe hebt als rootgebruiker.

De werking ervan is gericht op het vervangen van systeemprogrammabestanden door gewijzigde versies, om specifieke acties uit te voeren. Dat wil zeggen, ze bootsen het gedrag van het systeem na, maar houden andere acties en bewijzen van de bestaande indringer verborgen. Deze aangepaste versies worden Trojaanse paarden genoemd. Dus eigenlijk is een rootkit een set Trojaanse paarden.

Zoals we weten, vormen virussen onder Linux geen gevaar. Het grootste risico zijn de kwetsbaarheden die dagelijks in uw programma's worden ontdekt. Die kan worden misbruikt voor een indringer om een ​​rootkit te installeren. Hierin ligt het belang om het systeem in zijn geheel up-to-date te houden en voortdurend de status ervan te verifiëren.

Enkele van de bestanden die gewoonlijk het slachtoffer zijn van Trojaanse paarden zijn onder andere login, telnet, su, ifconfig, netstat, find.

Evenals degenen die behoren tot de /etc/inetd.conf-lijst.

Mogelijk bent u geïnteresseerd in lezen: Tips om malware vrij te houden op Linux

Soorten rootkits

We kunnen ze classificeren op basis van de technologie die ze gebruiken. Daarom hebben we drie hoofdtypen.

• Binaire bestanden: bestanden die erin slagen een reeks kritieke systeembestanden te beïnvloeden. Vervangen van bepaalde bestanden door hun gewijzigde gelijkenis. Kern: die welke de kerncomponenten beïnvloeden. Van bibliotheken: ze gebruiken systeembibliotheken om Trojaanse paarden te behouden.

Rootkits detecteren

We kunnen dit op verschillende manieren doen:

• Controle van de legitimiteit van de bestanden. Dit door middel van algoritmen die worden gebruikt om de som te controleren. Deze algoritmen zijn MD5-checksum- stijl, wat aangeeft dat voor een gelijk aantal van twee bestanden, beide bestanden identiek moeten zijn. Dus als een goede beheerder moet ik mijn systeemcontrolesom opslaan op een extern apparaat. Op deze manier zal ik later het bestaan ​​van rootkits kunnen detecteren door die resultaten te vergelijken met die van een bepaald moment, met een meetinstrument dat voor dat doel is ontworpen. Bijvoorbeeld Tripwire . Een andere manier waarop we het bestaan ​​van rootkits kunnen detecteren, is het uitvoeren van poortscans vanaf andere computers, om te controleren of er achterdeuren zijn die luisteren op poorten die normaal niet worden gebruikt. Er zijn ook gespecialiseerde daemons zoals rkdet voor installatiepogingen detecteren en in sommige gevallen zelfs voorkomen dat dit gebeurt en de beheerder hiervan op de hoogte stellen Een ander hulpmiddel is het shell- scripttype , zoals Chkrootkit , dat verantwoordelijk is voor het verifiëren van het bestaan ​​van binaire bestanden in het systeem, gewijzigd door rootkits.

WIJ RADEN U AAN De beste alternatieven voor Microsoft Paint op Linux

Vertel ons of u het slachtoffer bent geweest van een aanval met rootkits, of wat doet u om dit te voorkomen?

Neem voor vragen contact met ons op. En natuurlijk, ga naar onze Tutorials sectie of onze Linux categorie, waar je veel nuttige informatie vindt om het meeste uit ons systeem te halen.