Code source wiki de chkrootkit
Modifié par john le 2026/09/20 01:06
Masquer les derniers auteurs
| author | version | line-number | content |
|---|---|---|---|
 |
1.1 | 1 | Recherche quotidienne de rootkits : binaires système modifiés, fichiers cachés connus, interfaces réseau en écoute, traces d'infections répertoriées. |
| 2 | |||
| 3 | == Installation == | ||
| 4 | |||
| 5 | {{code language="bash"}} | ||
| 6 | sudo apt install chkrootkit | ||
| 7 | {{/code}} | ||
| 8 | |||
| 9 | Paquet Debian, version 0.58b. | ||
| 10 | |||
| 11 | == Lancement == | ||
| 12 | |||
| 13 | Timer systemd fourni par le paquet, une fois par jour peu après minuit : | ||
| 14 | |||
| 15 | {{code}} | ||
| 16 | chkrootkit.timer → chkrootkit.service → chkrootkit-daily | ||
| 17 | {{/code}} | ||
| 18 | |||
| 19 | À la main : | ||
| 20 | |||
| 21 | {{code language="bash"}} | ||
| 22 | sudo chkrootkit # rapport complet | ||
| 23 | sudo chkrootkit -q # seulement les résultats suspects | ||
| 24 | {{/code}} | ||
| 25 | |||
| 26 | == Configuration == | ||
| 27 | |||
| 28 | ##/etc/chkrootkit/chkrootkit.conf## : | ||
| 29 | |||
| 30 | |=Réglage|=Valeur|=Effet | ||
| 31 | |##RUN_DAILY##|##true##|Exécution quotidienne activée | ||
| 32 | |##DIFF_MODE##|##true##|Ne signale que les différences avec ##log.expected## | ||
| 33 | |##FILTER##|Expression ##sed##|Remplace les numéros de processus par ##{PID}## pour éviter les fausses différences d'un jour à l'autre | ||
| 34 | |##IGNORE_FILE##|##/etc/chkrootkit/chkrootkit.ignore##|Expressions régulières de lignes à ne jamais signaler | ||
| 35 | |##MAILTO##|##root##|Destinataire du rapport (boîte locale du Pi) | ||
| 36 | |||
| 37 | == Résultats == | ||
| 38 | |||
| 39 | Dans ##/var/log/chkrootkit/## : | ||
| 40 | |||
| 41 | |=Fichier|=Contenu | ||
| 42 | |##log.today##|Rapport du jour, filtré | ||
| 43 | |##log.today.raw##|Rapport du jour, brut | ||
| 44 | |##log.expected##|Référence pour le mode différentiel | ||
| 45 | |##chkrootkit-daily.log##|Journal de la dernière exécution | ||
| 46 | |||
| 47 | Créer ou mettre à jour la référence, après avoir relu le rapport : | ||
| 48 | |||
| 49 | {{code language="bash"}} | ||
| 50 | sudo cp -a /var/log/chkrootkit/log.today /var/log/chkrootkit/log.expected | ||
| 51 | {{/code}} | ||
| 52 | |||
| 53 | À refaire après une mise à jour qui modifie volontairement des fichiers surveillés. | ||
| 54 | |||
| 55 | == Faux positifs courants == | ||
| 56 | |||
| 57 | |=Message|=Cause | ||
| 58 | |##PACKET SNIFFER## sur ##wpa_supplicant## ou ##NetworkManager##|Ces programmes ouvrent des sockets réseau bruts ; normal. Déjà normalisé par ##FILTER## | ||
| 59 | |Fichiers suspects dans ##/usr/lib##|Fichiers cachés légitimes laissés par des paquets | ||
| 60 | |Changement après une mise à jour|Binaire remplacé par la nouvelle version du paquet | ||
| |
2.1 | 61 | |##chkwtmp## : ##deletion(s) between …##|Entrées incohérentes du journal des connexions, fréquentes sur un Raspberry Pi sans horloge matérielle (coupure de courant, démarrage avant synchronisation de l'heure). Vérifier avec ##last -F## autour des dates signalées |
| |
1.1 | 62 | |
| 63 | Pour ignorer définitivement une ligne, ajouter une expression régulière dans ##/etc/chkrootkit/chkrootkit.ignore##. |