miginside.com Seguridad y contra-seguridad informática

Los Rootkits son herramientas que permiten esconder actividades intrusas dentro de un sistema, después de que un intruso ha logrado penetrar en él. Además, proveen al atacante de vías de acceso ocultas para utilizar nuevamente el sistema en futuras oportunidades. El nombre Rootkit se origina a partir de la idea de que quien lo utiliza puede acceder fácilmente al nivel de root, o de administrador del sistema, una vez la herramienta ha sido instalada.

Los distintos tipos de Rootkits son:

1. Kits binarios: alcanzan su meta substituyendo ciertos ficheros del sistema por sus contrapartes Troyaneadas.

2. Kits del núcleo: utilizan los componentes del núcleo (también llamados módulos) que son reemplazados por troyanos.

3. Kits de librerías: emplean librerías del sistema para contener Troyanos.

Detección de Rootkits

 La detección y eliminación de Rootkits en Linux puede realizarse con chkrrotkit y Rootkit Hunte. A continuación expllicamos como instalar y ejecutar estos programas:

• chkrootkit

Como root en una consola nos descargamos la última versión con wget

# wget ftp://ftp.pangeia.com.br/pub/seg/pac/chkrootkit.tar.gz

Descomprimimos el archivo descargado:

# tar xvzf chkrootkit.tar.gz

Accedemos al directorio que se ha creado y compilamos la aplicación:

# cd chkrootkit*

# make sense

Ejecutamos el programa:

#  ./chkrootkit

Estaremos limpios si el resultado es "not found", "not infected"...

Para los usuarios de Gentoo deben realizar como root en una consola:

# emerge -av chkrootkit

Y una vez instalado, ejecutarlo:

# chkrootkit

• Rootkit Hunter

Página oficial: http://www.rootkit.nl/projects/rootkit_hunter.html

Como root en una consola nos descargamos Rootkit Hunter:

# wget http://downloads.rootkit.net/rkhunter-1.2.8.tar.gz

Descomprimimos el archivo descargado:

# tar zxf rkhunter-1.2.8.tar.gz

Accedemos al directorio creado y lo instalamos

# cd rkhunter

#../installer.sh

Una vez instalado lo ejecutamos:

# rkhunter

(Si la versión actual fuese superior a la 1.2.8 sustituir en las líneas anteriores esa numeración por la que sea la actual).

Los usuarios de Gentoo deben de realizar como root en una consola:

# emerge -av rkhunter

Y para ejecutarlo:

# rkhunter