No debemos caer en esa falsa sensación de seguridad. El malware por simple economía de escalabilidad está más presente en número y forma en sistemas Windows pero los usuarios de Linux debemos protegernos igualmente contra las mismas amenazas.
Precisamente, navegando por Internet encontré un pequeño artículo de Nick Congleton que recomienda usar ClamAV (quizás el antivirus de código abierto más usado en Linux) además de un par de herramientas para detección de rootkits. ¿Qué usas Linux y todavía no los tienes instalados? No dejes pasar esta oportunidad...
1. ClamAV
ClamAV y su frontend gráfico ClamTk son paquetes independientes. Si usas Ubuntu o una distribución basada en Debian puedes instalarlos simplemente con:
sudo apt install clamav clamtk
Una vez instalados tendremos que actualizar la base de datos del antivirus:
sudo freshclam
sudo systemctl stop clamav-freshclam
Ahora ya si podremos actualizar la bd sin problemas:
A continuación procederemos a escanear el filesystem completo (o si preferís un directorio en particular), para ello usaremos clamtk, la versión gráfica.
Eso sí, previamente tendremos que irnos a la configuración y marcar las opciones para que el motor escanee ficheros que empiecen con punto (.*), mayores de 20 MB y directorios recursivamente:
Finalmente seleccionaremos el directorio a escanear para empezar el proceso de análisis:
Una vez completada la exploración, ClamTK mostrará cualquier amenaza descubierta y nos permitirá elegir qué hacer con ellas.
Eliminarlas es obviamente mejor, pero podría desestabilizar el sistema, así que se requiere investigar un poco por si acaso.
2. Chkrootkit
El siguiente paso es instalar es Chkrootkit. Chkrootkit escanea los archivos del sistema para detectar signos de alteraciones maliciosas y los revisa contra una base de datos de rootkits conocidos.
Chkrootkit está disponible en la mayoría de los repositorios de muchas distribuciones y normalmente se debe poder instalar sin problemas con el gestor de paquetes correspondientes.
sudo apt install chkrootkit
Después simplemente ejecutamos el comando como root o con sudo.
sudo chkrootkit
Rápidamente empezará a buscar la posible presencia de una buena lista de rootkits conocidos. Puede detenerse durante un tiempo en algunos mientras explora archivos. Debería mostrar "nada encontrado" o "no infectado" al lado de cada uno.
El programa no da un informe final cuando termina, así que hay que volver y comprobar manualmente que no hay resultados.
También se puede parsear la salida del programa con grep y buscar INFECTED, pero eso no lo cogerá todo.
Falso Positivos Conocidos
Hay un error extraño con Chkrootkit que reporta un falso positivo para Linux/Ebury - Operation Windigo. Este es un error conocido desde hace tiempo por la introducción de un indicador -G en SSH. Hay un par de pruebas manuales que podemos ejecutar para verificar que es un falso positivo.
Primero, ejecutamos lo siguiente como root.
find /lib * -type f -name libns2.so
No debería aparecer nada. A continuación, comprobamos que el malware no esté utilizando un socket Unix.
netstat -nap | grep "@/proc/udevd"
Si ninguno de los dos comandos da resultados, el sistema está limpio.
También parece haber un falso positivo bastante nuevo para tcpd en Ubuntu. Si devuelve un resultado positivo en el sistema, investigaremos más, pero hay que tener en cuenta que casi con toda probabilidad el resultado podría ser incorrecto.
También podemos encontrar notificaciones para wted. Éstas pueden ser causados por errores de corrupción o registro en fallos del sistema. Utilizaremos el último para comprobar si los tiempos se alinean con reinicios o bloqueos. En esos casos los resultados probablemente sean causados por esos eventos y no por actividad maliciosa.
3. Rkhunter
Rkhunter es otra herramienta para buscar rookits. Es conveniente ejecutarlo adicionalmente en nuestro sistema para asegurarnos que chkrootkit no se dejó nada y para verificar falsos positivos.
De nuevo, éste debe estar en los repositorios de cada distribución.
sudo apt install rkhunter
Para ejecutar el análisis, primero debemos actualizar también la base de datos de rkhunter.
sudo rkhunter --update
A continuación, lanzamos el escaneo:
sudo rkhunter --check
El programa se detendrá después de cada sección:
Probablemente veremos algunas advertencias. Muchas surgen debido a ciertas configuraciones:
Cuando finalice la exploración, podremos echar un vistazo a log completo en /var/log/rkhunter.log. Ahí podemos ver cada advertencia en detalle.
También le ofrece un resumen completo de sus resultados de análisis.
Y esto es todo. Veis como con unos sencillos pasos hemos podido escanear nuestro sistema en busca de posibles amenazas. Si a ésto añadimos un firewall personal y un poco de sentido común, podremos utilizar un sistema Linux lo más seguro posible.
