Rootkit

De afgelopen dagen zijn er nogal wat issues geweest rondom de vermeende veiligheid van verschillende distributies. Bij Fedora en Red Hat hebben b.v. onbevoegden ingebroken op hun servers. Gelukkig had men dat snel door en zijn gepaste maatregelen genomen. Ze waren niet de eerste natuurlijk met dit soort ervaringen. Ook Debian heeft soortgelijke ellende moeten doorstaan in 2003 en 2006. Om maar niet te spreken van de onlangs gevonden zeer ernstige kwetsbaarheid in de Open SSL implementatie van Debian based distributies.

Een ander recent voorval trok iets minder de aandacht. Bij Linux Mint waren hackers erin geslaagd om een trojaans paard te installeren in de php code van hun website. Ook ernstig natuurlijk, maar wel van een andere orde van grootte als je de impact daarvan vergelijkt met de problemen rondom de eerste voorbeelden.

Maar dat neemt niet weg dat iedere (Windows) bezoeker van hun website zijn of haar computer moest controleren op de aanwezigheid van een trojaans paard. Ik roep dan specifiek Windows omdat het gebruikte Trojaanse Paard met behulp van iFrames of Javascript probeert om malware op de computer te installeren. En dat gaat nou eenmaal niet op een Linux computer werken.

Dat neemt niet weg dat ook een Linux computer kwetsbaar kan zijn voor een Trojaans Paard. Er zijn daar ook wel een paar voorbeelden van geweest natuurlijk. Nou hoeven we daar achter onze desktop niet meteen ongerust over te zijn. Een desktop machine is in de regel niet zo interessant voor een dergelijke aanval. Maar bezitters van een server zullen daar natuurlijk wel anders over denken.

Er zijn verschillende mogelijkheden om je daar tegen te wapenen. Denk dan aan b.v. Nessus of Bastille maar er zijn voor de “gewone” gebruiker ook iets simpeler te gebruiken tools. De meeste bekende hulpmiddelen zijn dan chkrootkit en het gebruik van rkhunter.

Deze programma’s zijn los van elkaar te gebruiken. Het advies is om ze alle twee te gebruiken. Met chkrootkit geef je opdracht om per keer de computer te controleren op verdachte signatures van een Trojaans Paard (de aanwezigheid van logfiles, verborgen bestanden etc.). Met rkhunter wordt een meer doorlopende controle uitgevoerd.

Hoe werkt dat dan? Ten eerste moeten die programma’s worden geïnstalleerd op je Ubuntu desktop of server. Een simpele sudo apt-get install chkrootkit rkhunter is dan voldoende. Verwacht nou geen grafische toeters en bellen want dat zou onder een reguliere server installatie toch geen pas geven. Dit soort programma’s werken vanuit een shell.

CHKROOTKIT:

Je opent een terminal en geeft als opdracht een sudo chkrootkit mee. Vervolgens spuugt dit programma haar bevindingen uit in je terminal scherm. Die output spreekt voor zich en bij twijfel is er altijd wel snel een antwoord te vinden via bv.de chkrootkit readme.

RKHUNTER:

Dit programma gaat wat verder. Het programma start zich zelf elke dag automatisch op dankzij een zgn. cron job. Dat bestand staat in /etc/cron.daily. Er wordt ook een logfile (rkhunter.log) van gemaakt in /var/log/rkhunter.log Vervolgens wordt er iedere dag een email gestuurd naar root zodat je elke dag kan controleren hoe dat er allemaal uit ziet. Die mail staat dan overigens in /var/mail.

Er zijn meerdere manieren te bedenken om die mail uit te lezen. Maar vanuit een terminal zou een commando als “mailx” mijn voorkeur hebben. Dit programma moet je dan nog wel installeren met sudo apt-get install mailx maar dat spreekt inmiddels wel voor zich. Als je mailx intikt in een terminal zie je vanzelf de dagelijkse berichten staan van rkhunter. Je leest ze door het nummer in te tikken die je voor elke regel ziet staan.

Maar voor we naar die output kijken is het goed om even te benoemen wat dit programma nou allemaal doet.

• Het doet een MD5 test om te zoeken naar veranderingen van bestanden
• Het controleert de binaries en systeembestanden voor bekende rootkits
• Het zoekt naar signatures van bekende Trojan Horses
• Het onderzoekt de bestands eigenschappen van de meest gebruikte programma’s
• Het zoekt naar bekende backdoors en verdachte netwerkpoorten
• Configuratie bestanden worden onderzocht zoals in /etc/rc.d, logbestanden, verborgen bestanden etc.etc.

Kijk voor meer informatie ook eens naar dit artikel en haar verwijzingen op Launchpad.

Dan zie je meteen dat er onder Ubuntu (8.04 is mijn huidige versie) bepaalde zaken als verdacht worden aangemerkt maar het vervolgens toch niet zijn. Lees dus alles nog even goed door als je belangstelling hebt voor deze mogelijkheden.

Tot slot:

Ben je met behulp van deze kennis en applicaties nou beschermd tegen alle gevaren die ons online leven bedreigen? Natuurlijk niet. Als je dat denkt heb je meteen al een probleem. Dit artikel is geschreven met de actualiteit op de achtergrond. Het kan een eerste prikkel zijn om je er eens verder in te verdiepen. Wat dat aangaat ligt er nog genoeg op ons te wachten. Is het niet heerlijk?