Rootkits: què són i com detectar-los en linux

És probable que un intrús a l'aconseguir colar-se en el teu sistema, el primer que farà és instal·lar una sèrie de rootkits. Amb això obtindrà control de sistema a partir d'aquest moment. Aquestes eines esmentades representen un gran risc. Per la qual cosa, és summament necessari conèixer que es tracten, el seu funcionament i com detectar-los.

La primera vegada que van notar la seva existència va ser en l'època dels 90, en el sistema operatiu Unix de SUN. El primer que van percebre els administradors va ser un estrany comportament al servidor. El CPU sobre utilitzat, dèficit d'espai al disc dur i connexions de xarxa no identificades a través d'la comanda netstat.

Rootkits: Què són i com detectar-los en Linux

Què són els Rootkits?

Són eines, les quals tenen per objectiu principal ocultar-se a si mateixes i amagar qualsevol altra instància que reveli la presència intrusa en el sistema. Per exemple, qualsevol modificació en processos, programes, directoris o arxius. Això permet a l'intrús ingressar a sistema de manera remota i imperceptible, en la majoria dels casos amb finalitats malicioses com extreure informació de gran importància o executar accions destructives. El seu nom neix de la idea que un rootkit et permet accedir de manera fàcil com a usuari root, posterior a la seva instal·lació.

El seu funcionament es centra en el fet de reemplaçar arxius de programa de sistema amb versions alterades, amb la finalitat d'executar unes accions específiques. És a dir, imiten el comportament de el sistema, però mantenen oculta altres accions i evidències de l'intrús existent. Aquestes versions modificades són denominades troians. Llavors, bàsicament, una rootkit és un conjunt de troians.

Com sabem, en Linux, els virus no són un perill. El major risc existent, són les vulnerabilitats que es descobreixen dia a dia en els seus programes. Les quals poden ser aprofitades una que un intrús et instal un rootkit. Aquí rau la importància de mantenir el sistema actualitzat en la seva totalitat, verificant de manera contínua el seu estat.

Alguns dels fitxers que solen ser víctimes de troians són login, telnet, el seu, ifconfig, netstat, find, entre d'altres.

Així com també, els pertanyents a la llista de /etc/inetd.conf.

Potser t'interessa llegir: Consells per mantenir lliure de malware en Linux

Tipus de Rootkits

Podem classificar-los d'acord a la tecnologia que emprin. Segons això, tenim tres tipus principals.

• Binaris: Els que aconsegueixen afectar un conjunt d'arxius crítics de el sistema. Substituint certs arxius per la seva similar modificat. De nucli: Els que afecten els components de l'nucli. De llibreries: Fan ús de llibreries de sistema per retenir Troians.

detectar Rootkits

Això podem fer-ho de diverses maneres:

• Verificació de legitimitat dels arxius. Això mitjançant algoritmes usats per revisar la suma. Aquests algoritmes són de l'estil MD5 checksum, els quals indiquen que p er que la suma de dos arxius sigui igual, cal que tots dos arxius siguin idèntics. Llavors, com a bon administrador, he de emmagatzemar els checksum del meu sistema en un dispositiu extern. D'aquesta manera, més endavant podre detectar l'existència de rootkits a través d'una comparació d'aquests resultats amb els de cert moment, amb alguna eina de mesurament dissenyada amb aquest objectiu. Per exemple, Tripwire .Una altra manera que ens permet detectar l'existència de rootkits és realitzar escanejos de ports des d'altres ordinadors, amb l'objectiu de verificar si hi ha portes posteriors que estiguin escoltant en ports que normalment inutilizados.Existen també, dimonis especialitzats com rkdet per detectar els intents d'instal·lació i en alguns casos fins a impedir que succeeixi i notificar a l'administrador.Otra eina són els de tipus shell script, com chkrootkit, els quals s'encarreguen de verificar l'existència de binaris en el sistema, modificats per rootkits.

ET RECOMENDAMOSLas millors alternatives a Microsoft Paint en Linux

Comenta'ns si has estat víctima d'un atac amb rootkits, o quins són els teus practiques per evitar-ho?

Contacta'ns per qualsevol dubte. I per descomptat, entra a la nostra secció de Tutorials o la nostra categoria de Linux, on trobaràs moltíssima informació útil per treure el màxim profit al nostre sistema.