Rootkits: o que são e como detectá-los no linux

É provável que um invasor possa se infiltrar no sistema, a primeira coisa que ele fará é instalar uma série de rootkits. Com isso, você ganhará o controle do sistema a partir desse momento. Essas ferramentas mencionadas representam um grande risco. Portanto, é extremamente necessário saber do que se trata, seu funcionamento e como detectá-los.

A primeira vez que notaram sua existência foi nos anos 90, no sistema operacional SUN Unix. A primeira coisa que os administradores notaram foi um comportamento estranho no servidor. CPU em uso excessivo, falta de espaço no disco rígido e conexões de rede não identificadas através do comando netstat .

ROOTKITS: O que são e como detectá-los no Linux

O que são Rootkits?

São ferramentas, cujo objetivo principal é esconder-se e ocultar qualquer outra instância que revele a presença intrusiva no sistema. Por exemplo, qualquer modificação em processos, programas, diretórios ou arquivos. Isso permite que o invasor entre no sistema remotamente e de maneira imperceptível, na maioria dos casos para fins maliciosos, como extrair informações de grande importância ou executar ações destrutivas. Seu nome deriva da idéia de que um rootkit permite acessá-lo facilmente como usuário root, após a instalação.

Sua operação se concentra no fato de substituir os arquivos de programa do sistema por versões alteradas, a fim de executar ações específicas. Ou seja, eles imitam o comportamento do sistema, mas mantêm ocultas outras ações e evidências do intruso existente. Essas versões modificadas são chamadas de Trojans. Então, basicamente, um rootkit é um conjunto de cavalos de Troia.

Como sabemos, no Linux, os vírus não são um perigo. O maior risco são as vulnerabilidades descobertas diariamente em seus programas. Que pode ser explorado por um invasor para instalar um rootkit. Aqui reside a importância de manter o sistema atualizado por inteiro, verificando continuamente seu status.

Alguns dos arquivos que geralmente são vítimas de cavalos de Troia são login, telnet, su, ifconfig, netstat, find, entre outros.

Assim como aqueles pertencentes à lista /etc/inetd.conf.

Você pode estar interessado em ler: Dicas para permanecer livre de malwares no Linux

Tipos de rootkits

Podemos classificá-los de acordo com a tecnologia que eles usam. Por conseguinte, temos três tipos principais.

• Binários: aqueles que conseguem afetar um conjunto de arquivos críticos do sistema. Substituindo determinados arquivos por seus similares modificados. Núcleo: aqueles que afetam os componentes principais. Das bibliotecas: eles usam bibliotecas do sistema para reter cavalos de Troia.

Detectando rootkits

Podemos fazer isso de várias maneiras:

• Verificação de legitimidade dos arquivos. Isso através de algoritmos usados ​​para verificar a soma. Esses algoritmos são do estilo de soma de verificação MD5 , que indicam que, para que a soma de dois arquivos seja igual, é necessário que ambos sejam idênticos. Portanto, como um bom administrador, devo armazenar a soma de verificação do sistema em um dispositivo externo. Dessa forma, mais tarde poderei detectar a existência de rootkits através da comparação desses resultados com os de um determinado momento, com alguma ferramenta de medição projetada para esse fim. Por exemplo, Tripwire . Outra maneira que nos permite detectar a existência de rootkits é executar verificações de porta de outros computadores, para verificar se há backdoors que estão escutando portas que normalmente não são usadas. Existem também daemons especializados como o rkdet detectar tentativas de instalação e, em alguns casos, até impedir que isso aconteça e notificar o administrador.Uma outra ferramenta é o tipo de script de shell, como o Chkrootkit , responsável por verificar a existência de binários no sistema, modificados por rootkits.

RECOMENDAMOS VOCÊ As melhores alternativas para o Microsoft Paint no Linux

Diga-nos se você foi vítima de um ataque com rootkits ou quais são suas práticas para evitá-lo?

Entre em contato conosco para qualquer dúvida. E, é claro, vá para a seção Tutoriais ou a categoria Linux, onde você encontrará muitas informações úteis para tirar o máximo proveito do nosso sistema.