Rootkits: какви са те и как да ги открием в Linux

Вероятно е натрапник да се промъкне във вашата система, първото нещо, което ще направят, е да инсталират серия руткити. С това ще получите контрол над системата от този момент. Тези споменати инструменти представляват голям риск. Затова е изключително необходимо да се знае за какво се отнасят, за тяхната работа и как да ги откриваме.

Първият път, когато забелязаха съществуването му, беше през 90-те, в операционната система SUN Unix. Първото нещо, което администраторите забелязаха, беше странното поведение на сървъра. Прекалено използван процесор, недостиг на място на твърдия диск и неидентифицирани мрежови връзки чрез командата netstat .

ПРЕДПОСТАВКИ: Какво представляват те и как да ги открием в Linux

Какво представляват корените?

Те са инструменти, чиято основна цел е да се скрият и скрият всяка друга инстанция, която разкрива натрапчивото присъствие в системата. Например, всяка промяна в процеси, програми, директории или файлове. Това позволява натрапникът да влезе в системата дистанционно и незабележимо, в повечето случаи за злонамерени цели, като извличане на информация от голямо значение или извършване на разрушителни действия. Името му идва от идеята, че rootkit ви позволява лесно да получите достъп до него като потребител на root след инсталирането му.

Работата му се фокусира върху факта, че заменя файловете на системните програми с променени версии, за да се изпълнят конкретни действия. Тоест, те имитират поведението на системата, но пазят други действия и доказателства за натрапника. Тези модифицирани версии се наричат ​​троянци. Така че в основата, руткит е набор от троянци.

Както знаем, в Linux вирусите не представляват опасност. Най-големият риск са уязвимостите, които се откриват всеки ден във вашите програми. Което може да се използва за натрапник, който да инсталира rootkit. В това се крие значението на актуализацията на системата в нейната цялост, като непрекъснато се проверява нейното състояние.

Някои от файловете, които обикновено стават жертва на троянци, са вход, telnet, su, ifconfig, netstat, find, наред с други.

Както и тези, принадлежащи към списъка /etc/inetd.conf.

Може да се интересувате от четене: Съвети за запазване на зловредни програми в Linux

Видове руткити

Можем да ги класифицираме според технологията, която използват. Съответно имаме три основни типа.

• Двоични файлове: Тези, които успяват да повлияят на набор от критични системни файлове. Замяна на определени файлове с техните модифицирани подобни. Ядро: Тези, които засягат основните компоненти. От библиотеките: Те използват системни библиотеки, за да задържат троянци.

Откриване на Rootkits

Можем да направим това по няколко начина:

• Проверка на легитимността на файловете. Това чрез алгоритми, използвани за проверка на сумата. Тези алгоритми са стил на MD5 контролна сума , които показват, че за да бъде равна сумата от два файла, е необходимо и двата файла да са идентични. Така че, като добър администратор, трябва да съхраня системната си контролна сума на външно устройство. По този начин по-късно ще мога да открия съществуването на руткити чрез сравнение на тези резултати с тези от определен момент, с някакъв инструмент за измерване, предназначен за тази цел. Например, Tripwire . Друг начин, който ни позволява да открием съществуването на руткити, е да извършим сканиране на пристанища от други компютри, за да проверим дали има задния прозорец, който слуша за портове, които обикновено не се използват. Има и специализирани демони като rkdet за открийте опити за инсталиране и в някои случаи дори предотвратявайте това да се случи и уведомете администратора. Друг инструмент е типът скрипт на обвивката, например Chkrootkit , който отговаря за проверката на съществуването на двоични файлове в системата, модифицирани от rootkits.

ПРЕПОРЪЧВАМЕ ВИ най-добрите алтернативи на Microsoft Paint в Linux

Кажете ни, ако сте ставали жертва на атака с руткити или какви са вашите практики, за да я избегнете?

Свържете се с нас за всякакви въпроси. И разбира се, отидете в раздела „ Ръководства “ или нашата категория Linux, където ще намерите много полезна информация, за да извлечете максимума от нашата система.