Les
rootkit sous Linux
Définition
d'un rootkit :
Les rootkits sont des
outils exploités par les pirates informatiques
(hackers) qui permettent de s'approprier le compte root.
Un rootkit est
généralement installé volontairement
par un
utilisateur avec peu de droits et qui a préalablement eu un
accès à la
machine (soit en la piratant soit en ayant des
accès de simple
visiteur par exemple).
Il exploite alors une
faille du système d'exploitation et / ou des
protocoles réseau utilisés pour
récupèrer les mots de passes qui
transitent sur le réseau et ainsi avoir accès
à des services sécurisés
voir à d'autres machines.
Fréquemment,
les rootkits
installent une backdoor sur la machine afin que le pirate puisse se
reconnecter discrètement sur la machine. De plus, les
rootkit
actuels modifient le noyau ( souvent un module chargé ) afin
de
se rendre invisible à l'administrateur.
- Les modifications faites
pas le pirate ne sont pas loguées
- un netstat ne montre pas
les ports ouverts par la backdoor
- un ps ne montre pas les
processus du pirate
- un ls ne montre pas que des fichiers ont
été modifiés
- etc..
installation
d'un
rootkit ici
Analyse du
rootkit KNARK
Les Scanners
Sous linux chaque fichiers a une emprunte
MD5
vous pouvez effectuer un checksum à l'aide du programme
md5sum
afin de vérifier si ce dernier a été
modifié ( volontairement ou lors d'un
téléchargement ).
malekalmorte@ubuntu:~$
md5sum /sbin/lsmod
1714cbb179be07fa944ab1f128e1a751
/sbin/lsmod
Dès lors, le md5 de chaque binaire
système de
chaque distribution est connu, on peut alors déterminer si
ce
dernier ont été modifié par un rootkit.
rkhunter
- rkhunter
est un scanner qui vérifie les signatures md5 des binaires
systèmes
Il scan aussi le système à partir de signature de
rootkit connus.
L'installation est simple :
malekalmorte@ubuntu:~$
tar xvfz Desktop/rkhunter-1.2.7.tar.gz
./rkhunter/files/
./rkhunter/files/CHANGELOG
./rkhunter/files/LICENSE
./rkhunter/files/README
./rkhunter/files/WISHLIST
./rkhunter/files/backdoorports.dat
./rkhunter/files/check_modules.pl
./rkhunter/files/check_port.pl
./rkhunter/files/defaulthashes.dat
./rkhunter/files/filehashmd5.pl
./rkhunter/files/filehashsha1.pl
./rkhunter/files/mirrors.dat
./rkhunter/files/os.dat
./rkhunter/files/rkhunter
./rkhunter/files/rkhunter.conf
./rkhunter/files/rkhunter.spec
./rkhunter/files/showfiles.pl
./rkhunter/files/md5blacklist.dat
./rkhunter/files/tools/
./rkhunter/files/tools/update_server.sh
./rkhunter/files/tools/update_client.sh
./rkhunter/files/tools/README
./rkhunter/files/check_update.sh
./rkhunter/files/programs_bad.dat
./rkhunter/files/contrib/
./rkhunter/files/contrib/run_rkhunter.sh
./rkhunter/files/contrib/README.txt
./rkhunter/files/testing/
./rkhunter/files/testing/stringscanner.sh
./rkhunter/files/testing/rootkitinfo.txt
./rkhunter/files/testing/rkhunter.conf
./rkhunter/files/development/
./rkhunter/files/development/createfilehashes.pl
./rkhunter/files/development/createhashes.sh
./rkhunter/files/development/rpmhashes.sh
./rkhunter/files/development/rpmprelinkhashes.sh
./rkhunter/files/development/osinformation.sh
./rkhunter/files/development/rkhunter.8
./rkhunter/files/development/createhashesall.sh
./rkhunter/files/development/search_dead_sysmlinks.sh
./rkhunter/files/programs_good.dat
./rkhunter/files/defaulthashes2.dat
./rkhunter/installer.sh
se mettre dans le nouveau dossier rkhunter :
malekalmorte@ubuntu:~/rkhunter$
sudo ./installer.sh
Rootkit
Hunter installer
1.2.4 (Copyright 2003-2005, Michael Boelen)
---------------
Starting
installation/update
Checking
/usr/local... OK
Checking file retrieval
tools... /usr/bin/wget
Checking installation
directories...
- Checking
/usr/local/rkhunter...Exists
- Checking
/usr/local/rkhunter/etc...Exists
- Checking
/usr/local/rkhunter/bin...Exists
- Checking
/usr/local/rkhunter/lib/rkhunter/db...Exists
- Checking
/usr/local/rkhunter/lib/rkhunter/docs...Exists
- Checking
/usr/local/rkhunter/lib/rkhunter/scripts...Exists
- Checking
/usr/local/rkhunter/lib/rkhunter/tmp...Exists
- Checking
/usr/local/etc...Exists
- Checking
/usr/local/bin...Exists
Checking system
settings...
- Perl... OK
Installing files...
Installing Perl module
checker... OK
Installing Database
updater... OK
Installing
Portscanner... OK
Installing MD5 Digest
generator... OK
Installing SHA1 Digest
generator... OK
Installing Directory
viewer... OK
Installing Database
Backdoor ports... OK
Installing Database
Update mirrors... OK
Installing Database
Operating Systems... OK
Installing Database
Program versions... OK
Installing Database
Program versions... OK
Installing Database
Default file hashes... OK
Installing Database MD5
blacklisted files... OK
Installing Changelog...
OK
Installing Readme and
FAQ... OK
Installing Wishlist and
TODO... OK
Installing RK Hunter
configuration file... Skipped (no overwrite)
Installing RK Hunter
binary... OK
Configuration already
updated.
Installation ready.
See
/usr/local/rkhunter/lib/rkhunter/docs for more information. Run
'rkhunter' (/usr/local/bin/rkhunter)
On peut alors démarrer le scan, on remarquera que rkhunter
détermine le type de distribution pour connaître
les md5 des fichiers (puisqu'ils diffèrent selon la
distribution).
malekalmorte@ubuntu:/$ sudo /usr/local/bin/rkhunter -c
Rootkit Hunter 1.2.7 is running
Determining OS... Ready
Checking binaries
* Selftests
Strings
(command) [
OK ]
* System tools
Performing 'known bad' check...
/bin/cat
[ OK ]
/bin/chmod
[ OK ]
etc... etc..
Chkrootkit
chkrootkit permet aussi un scan à la
recherche de rootkit connus - il est disponible sur apt-get
j'ai fait un script qui permet d'envoyer
un mail après vérification du système
:
ici
Les IDS
LIDS
LIDS est un projet qui
permet :
- d'augmenter la sécurité du noyau
notamment
cela
rajoute des vérifications sur les débordements de
tampon
- monitorer le noyau
- d'ajouter des ACL sur l'exécution de programmes
- Mettre le système dans un mot où le
root n'a
aucun
pouvoir, de ce fait, si la machine est rootkité le hackeur
ne
peut rien faire.
La désactivation de ce mode ( lorsque par exemple vous
administrez la machine ) se fait par un mot de passe.
Dans le même style, il existe un autre projet
GrSecurity qui
permet aussi d'augmenter la sécurité au niveau du
noyau et ajouter des restrictions aux utilisateurs.
Quelques conseils
Voici quelques conseils pour se prémunir de ce
genre d'attaques et intrusions :
- Désactivez tous les daemons inutiles.
- Mettez un firewall
- Utiliser un maximum de programme crypté
et donc un minimum de programme non crypté (telnet, ftp
etc..)
- Ne laissez pas des utilisateurs inutiles sur le
système.
- Ne pas utiliser des mots pas faciles à deviner
ou qui se
trouvent dans des dictionnaires (mots courants que ce soit en anglais
ou en français).
- Tenez régulièrement le
système à jour
afin de corriger des éventuelles failles de
sécurités au niveau des daemons, programmes et du
noyau
de votre machine. Vous pouvez aussi voir du côté
de Nessus
pour cela.
- Scannez votre machine réuglièrement
avec les programmes mentionnés ci-dessus.
- Scannez aussi votre machine depuis une machine distante
afin de
vérifier les éventuels ports ouverts qui ne
devraient pas
l'être.
Retour à la page
d'accueil
