Desde hace unos años, rkhunter se ha convertido para mi en una herramienta imprescindible, puedes usarlo en un servidor web o en tu ordenador personal como una forma más de asegurarlo. A continuación, os daré algunos detalles sobre sus funciones o uso.
Esta ligera y potente aplicación con licencia GPL, está ideada para detectar puertas traseras en tu sistema o alertar de actividades sospechosas en el mismo.
Se puede lanzar también al programador de tareas (Cron) para que realice una comprobación diaria de la integridad del sistema, además, puede configurarse para que te envíe un mail con el resultado del scan.
Realiza entre otras las siguientes operaciones (consulta la ayuda);
Análisis del disco duro en busca de los rootkits más comunes.
Comparaciones de hashes MD5.
Busca ficheros que son usados habitualmente por rootkits.
Realiza un análisis de ficheros binarios y los que se hayan movidos de su lugar habitual.
Busca cadenas sospechosas en módulos como LKM y KLD.
Módulos de Apache así como su configuración.
Interfaces funcionando en modo promiscuo (posibles sniffers).
Aplicaciones a la “escucha” que usen la librería libcap.
Ficheros que hayan sido borrados recientemente y los ocultos.
Llo más normal es ejecutar un rkhunter -c (check all, análisis completo) pero recordad ejecutar un rkhunter –update al menos semanal para que actualice las firmas de malware y toda su base de datos de detección para estar al día con todas las amenazas que van surgiendo.
Para su correcto funcionamiento, requiere un Shell Bash o Korn y algunos módulos de Perl que encontrarás en la mayoría de las distribuciones seguramente ya instalados.
Rkhunter está disponible para entornos GNU/Linux, Unix, BSD o Solaris.
De todos modos hay que ser un tanto paciente con las alertas que devuelve una vez finalizado el análisis ya que en ocasiones puede dar algún «falso positivo» y hacer sonar la voz de alarma, os recomiendo documentaros bien y buscar información al respecto antes de eliminar cualquier fichero sospechoso.
Para instalarlo, además de poder bajar el código fuente y compilarlo, la forma más sencilla es vía apt-get install rkhunter.
Os recomiendo también ChkRootkit que viene a realizar unas funciones parecidas con mucha efectividad.
Sitio web de Rkhunter | | En SourceForge | En Freshmeat |
Por David Hernández (Dabo).
¿Quieres comentar algo sobre este post? Puedes hacerlo en nuestro foro de noticias.
