[Astuce|Script] Astuce pour chkrootkit

[Luke spywoker]

Je vous explique ici une petite astuce pour detecter les rootkits dans votre système:
Nous allons avoir besoin du programme chkrootkit:

Code :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
 
"Description*: Détecteur de rootkit
 L'analyseur de sécurité chkrootkit recherche des indices montrant une infection
 par un rootkit. Un rookit est un ensemble de programmes et de bidouillages
 conçu pour prendre le contrôle de la machine cible en exploitant des failles de
 sécurité. 
 
 Les types de rootkits identifiables par chkrootkit sont listés sur la page
 d'accueil du projet. 
 
 Veuillez noter que chkrootkit ne détecte pas les intrusions, ne garantissant
 donc pas que le système ne soit pas compromis. En plus d'exécuter chkrootkit,
 d'autres tests plus spécifiques devraient toujours être réalisés."
Site*: http://www.chkrootkit.org/

donc nous l'installons:

Code :

sudo apt-get install chkrootkit

Puis nous allons editer un document text avec toutes les techniques de detection de chkrootkit qui contiendra les codes suivants:

Code :

1
2
 
aliens asp bindshell lkm rexedcs sniffer w55808 wted scalper slapper z2 chkutmp OSX_RSPLUG amd basename biff chfn chsh cron crontab date du dirname echo egrep env find fingerd gpm grep hdparm su ifconfig inetd inetdconf identd init killall  ldsopreload login ls lsof mail mingetty netstat named passwd pidof pop2 pop3 ps pstree rpcinfo rlogind rshd slogin sendmail sshd syslogd tar tcpd tcpdump top telnetd timed traceroute vdir w write

Information issue de l'option -l de chkrootkit qui liste les différentes techniques d'analyse.
Enregistrez le fichier sous le nom chk_config.txt.
Puis nous allons céer un petit script bash, nommer anti-rootkit, afin de tester notre système:

Code :

1
2
3
4
5
6
7
8
 
#!/bin/bash
for var in $(cat /chemin/vers/chk_config.txt)
do
sudo chkrootkit ${var} | egrep -v 'nothing found|not infected|nothing del|not found'
wait $!
echo ${var} 'terminate'
done

Rendez le script anti-rootkit exécutable

Code :

chmod u+x anti-rootkit

et disposer le dans un dossier enregistrez dans la variable PATH qui contient les chemins des dossier dans lesquelles on peut exécuter des script bash.
Si vous n'en avez pas créer un dossier et taper:

Code :

1
2
3
 
echo "export PATH=/chermin/vers/le/dossier:$PATH" >> ~/.bashrc #ajout du chemin dans le fichier de configuration /.bashrc
. ~/.bashrc #sert a rendre cette modification permanente noubliez pas l'espace qui est le séparateur de Linux

Vous pouvez lancer anti-rootkit.