Come scansionare e rimuovere malware su Linux con Maldet

In un mondo in cui l'uso di Internet è sempre più diffuso, dal momento che oltre il 90% delle attività quotidiane, indipendentemente dal settore, viene svolto online, come il pagamento di servizi pubblici, l'accesso alla posta elettronica, la creazione di file e migliaia di altre opzioni, è comune che tutti i nostri dati siano esposti e vulnerabili a causa dell'aumento di minacce come virus o malware.

Periodicamente sentiamo dire che quando utilizziamo Linux non siamo esposti ad attacchi ma non possiamo nascondere la realtà, poiché essendo in un mondo digitale saremo esposti in misura minore o maggiore indipendentemente dal sistema operativo utilizzato ed è per questo che in Solvetic analizzeremo nel dettaglio come analizzare ed eliminare, se esiste, malware in ambienti Linux e per questo utilizzeremo Ubuntu 17.04.

Cos'è il malwarePrima di tutto, è importante chiarire cosa significa malware o software dannoso, e questo è considerato un tipo di software fastidioso o dannoso che è stato creato con lo scopo di accedere a qualsiasi dispositivo senza essere avvisato e senza che l'utente se ne accorga.

Alcuni tipi di malware includono spyware (spyware), adware (adware), phishing, virus, trojan, worm, rootkit, ransomware e browser hijacker che influiscono sulla sicurezza e sulla privacy del sistema.

In Windows abbiamo già visto il miglior anti-malware. A livello di ambienti Linux, la maggior parte degli attacchi sono volti a sfruttare bug in servizi come contenitori java o servizi browser, dove l'obiettivo principale è modificare il modo in cui funziona il servizio di destinazione e, a volte, chiuderlo completamente, compromettendone il normale utilizzo .

Un altro tipo di attacco in Linux è quando un utente malintenzionato tenta di ottenere le credenziali di accesso di un utente per accedere al sistema e avere tutto ciò che è ospitato lì.

Cos'è MaldetMaldet o Linux Malware Detect (LMD), è uno scanner di malware per Linux che è stato sviluppato per gestire le minacce comuni negli ambienti ospitati condivisi.

Maldet utilizza i dati sulle minacce dai sistemi di rilevamento delle intrusioni di rete per estrarre il malware che viene utilizzato attivamente negli attacchi generando firme per il rilevamento.

È concesso in licenza con GNU GPLv2 e le firme utilizzate in LMD sono hash di file MD5 e corrispondenze di pattern HEX, che possono anche essere facilmente esportati in qualsiasi numero di strumenti di rilevamento come ClamAV.

Caratteristiche MaldetAlcune delle caratteristiche che troviamo in Maldet sono:

• HEX basato su modelli di identificazione per identificare le varianti della minaccia.

• Funzionalità di aggiornamento della firma integrata con -u | -aggiornare.

• Componente di analisi statistica per il rilevamento di minacce offuscate.

• Rilevamento ClamAV integrato.

• Opzione Scan-all per la scansione basata sul percorso completo.

• Ha una coda di quarantena che archivia le minacce in modo sicuro senza autorizzazioni.

• Ha un'opzione di ripristino in quarantena per ripristinare i file nel percorso originale.

• Regole più pulite per la rimozione di base64 e gzinflate.

• Include uno script cron giornaliero compatibile con i sistemi stock RH, Cpanel e Ensim.

• Ha una scansione cron giornaliera di tutte le modifiche nelle ultime 24 ore.

• Kernel inotify monitor che può prendere dati dal percorso STDIN o FILE.

• Il monitor inotify del kernel può essere limitato a una radice html configurabile dall'utente.

• Ha un monitor inotify del kernel con limiti sysctl dinamici per prestazioni ottimali.

• Genera rapporti di avviso e-mail dopo ogni esecuzione di scansione.

• Ignora le opzioni in base a percorso, estensione e firma.

• Opzione scanner in background per operazioni di scansione non presidiate.

1. Come installare Maldet su Linux

Passo 1
Per avviare il processo, il primo passo da compiere è scaricare il file ar.gz dal sito ufficiale utilizzando wget, per questo eseguiremo quanto segue nel terminale:

 wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

INGRANDIRE

Passo 2
Ora estrarremo il contenuto del file scaricato eseguendo quanto segue:

 tar -xvf maldetect-current.tar.gz

INGRANDIRE

Passaggio 3
Successivamente, accederemo alla directory in cui è stato estratto il contenuto, in questo caso sarà:

 cd maldetect-1.6.2

Passaggio 4
Una volta all'interno della directory eseguiremo lo script di installazione utilizzando la seguente riga:

 sudo ./install.sh

INGRANDIRE

2. Come configurare Maldet su Linux

Passo 1
Una volta che l'installazione sarà corretta, è il momento di configurare Maldet utilizzando il file conf.maldet che è stato creato automaticamente, accederemo utilizzando l'editor desiderato:

 sudo nano /usr/local/maldetect/conf.maldet

INGRANDIRE

Passo 2
Lì possiamo modificare le seguenti impostazioni a livello di notifica:

• Se vogliamo ricevere una notifica quando viene rilevato un malware, imposteremo il valore del campo email_alert su uno (1).

• Nel campo email_addr inseriremo l'indirizzo email a cui verremo avvisati.

• Nel campo email_ignore_clean possiamo impostare il suo valore su uno (1) se non vogliamo essere avvisati quando il malware viene automaticamente pulito.

INGRANDIRE

Passaggio 3
Nello stesso file possiamo modificare i seguenti valori a livello di quarantena:

• Nel campo quarantene_hits definiremo il valore 1 in modo che i file interessati vengano automaticamente messi in quarantena.

• Nel campo quarantena_clean possiamo definire il valore 1 per pulire automaticamente i file interessati, se imposti questo valore a 0, puoi prima ispezionare i file prima di pulirli.

• L'impostazione 1 nel campo quarantena_suspend_use sospenderà gli utenti i cui account sono interessati, mentre il parametro "quarantine_suspend_user_minuid" stabilisce l'ID utente minimo che deve essere sospeso. Questo è impostato su 500 per impostazione predefinita.

INGRANDIRE

Passaggio 4
Una volta definiti questi parametri, salviamo le modifiche utilizzando i tasti:

Ctrl + O

e lasciamo l'editor usando:

Ctrl + X

3. Come analizzare il malware in Linux con Maldet

Passo 1
Per eseguire l'analisi del malware, eseguiremo la seguente sintassi:

 sudo maldet --scan-all / Percorso da scansionare

INGRANDIRE

Passo 2
Durante il processo di installazione di Maldet, verrà installata anche una funzione cronjob su:

 /etc/cron.daily/maldet

Che eseguirà la scansione delle directory home, nonché di tutti i file o le cartelle che sono stati modificati quotidianamente. Con Maldet abbiamo un semplice strumento per analizzare il malware in ambienti Linux in modo semplice e sicuro.