chkrootkit
Modifié par john le 2026/09/20 01:06
Recherche quotidienne de rootkits : binaires système modifiés, fichiers cachés connus, interfaces réseau en écoute, traces d'infections répertoriées.
Installation
sudo apt install chkrootkit
Paquet Debian, version 0.58b.
Lancement
Timer systemd fourni par le paquet, une fois par jour peu après minuit :
chkrootkit.timer → chkrootkit.service → chkrootkit-daily
À la main :
sudo chkrootkit # rapport complet
sudo chkrootkit -q # seulement les résultats suspects
sudo chkrootkit -q # seulement les résultats suspects
Configuration
/etc/chkrootkit/chkrootkit.conf :
| Réglage | Valeur | Effet |
|---|---|---|
| RUN_DAILY | true | Exécution quotidienne activée |
| DIFF_MODE | true | Ne signale que les différences avec log.expected |
| FILTER | Expression sed | Remplace les numéros de processus par {PID} pour éviter les fausses différences d'un jour à l'autre |
| IGNORE_FILE | /etc/chkrootkit/chkrootkit.ignore | Expressions régulières de lignes à ne jamais signaler |
| MAILTO | root | Destinataire du rapport (boîte locale du Pi) |
Résultats
Dans /var/log/chkrootkit/ :
| Fichier | Contenu |
|---|---|
| log.today | Rapport du jour, filtré |
| log.today.raw | Rapport du jour, brut |
| log.expected | Référence pour le mode différentiel |
| chkrootkit-daily.log | Journal de la dernière exécution |
Créer ou mettre à jour la référence, après avoir relu le rapport :
sudo cp -a /var/log/chkrootkit/log.today /var/log/chkrootkit/log.expected
À refaire après une mise à jour qui modifie volontairement des fichiers surveillés.
Faux positifs courants
| Message | Cause |
|---|---|
| PACKET SNIFFER sur wpa_supplicant ou NetworkManager | Ces programmes ouvrent des sockets réseau bruts ; normal. Déjà normalisé par FILTER |
| Fichiers suspects dans /usr/lib | Fichiers cachés légitimes laissés par des paquets |
| Changement après une mise à jour | Binaire remplacé par la nouvelle version du paquet |
| chkwtmp : deletion(s) between … | Entrées incohérentes du journal des connexions, fréquentes sur un Raspberry Pi sans horloge matérielle (coupure de courant, démarrage avant synchronisation de l'heure). Vérifier avec last -F autour des dates signalées |
Pour ignorer définitivement une ligne, ajouter une expression régulière dans /etc/chkrootkit/chkrootkit.ignore.