Linux Malware Detect (LMD) para proteger o Linux

Introdução
Um dos maiores problemas aos quais os servidores, e-mail e serviços da web estão expostos são os ataques de malware.

Um dos métodos para evitar esse problema é Detecção de malware em Linux (LMD), um aplicativo que pode ser instalado em qualquer sistema Linux e evitará esse tipo de ataque.

Instalação
Assumiremos que temos acesso SSH ao servidor que utilizamos para realizar a instalação e pode ser feito a partir de qualquer sistema operacional, desde que façamos a tarefa conectados ao servidor.

1. Entramos em nosso console de comando por SSH para nosso servidor:

 ssh [email protected] [email protected]'s password: ******* 

2. Assim que tivermos conectado ao servidor, baixamos o pacote Linux Malware Detect grátis em nosso servidor:

 [root @ server1 ~] # wget www.rfxn.com/downloads/maldetect-current.tar.gz

3. Descompacte o arquivo:

 [root @ server1 ~] # tar xfz maldetect-current.tar.gz

Com instrução ls podemos verificar em qual diretório você descompactou, ele geralmente será chamado como a versão de má detecção, neste caso, maldetect-1.4.2

4. Entramos no diretório e procedemos à instalação do Maldetect. Aqui está uma instalação que será vista em alguns comandos:

 [root @ server1 ~] # cd maldetect-1.4.2 [root @ server1 maldetect-1.4.2] # ./install.sh Linux Malware Detect v1.4.1 © 2002-2013, R-fx Networks © 2013, Ryan MacDonald inotifywait © 2007, Rohan McGovern Este programa pode ser redistribuído gratuitamente sob os termos da instalação GNU GPL concluída no arquivo de configuração / usr / local / maldetect: /usr/local/maldetect/conf.maldet arquivo exec: / usr / local / maldetect / link exec maldet: / usr / local / sbin / link exec maldet: / usr / local / sbin / lmd cron.daily: /etc/cron.daily/maldet maldet (10805): {sigup} executando verificação de atualização de assinatura … maldet ( 10805): {sigup} conjunto de assinaturas local é versão 201205035915 maldet (10805): {sigup} novo conjunto de assinaturas (2013041816820) disponível maldet (10805): {sigup} baixado http://www.rfxn.com/downloads/md5. dat maldet (10805): {sigup} baixado http://www.rfxn.com/downloads/hex.dat maldet (10805): {sigup} baixado http://www.rfxn.com/downloads/rfxn.ndb maldet (10805): {sigup} baixado http://www.rfxn.com/downloads/rfxn.hdb maldet (10805): {próximo p} baixado http://www.rfxn.com/… aldet-clean.tgz maldet (10805): {sigup} atualização do conjunto de assinaturas completada maldet (10805): {sigup} 11203 assinaturas (9335 MD5 / 1868 HEX) Então nós faça uma atualização do banco de dados de assinatura do Maleare [root @ server1 ~] # maldet -update

Configuração
Na janela de comando, escrevemos abaixo usando nosso editor preferido irmão mais velho, vim ou aquele que usamos com frequência:

 nano /usr/local/maldetect/conf.maldet

Estabelecemos se, ao encontrar qualquer malware, ele nos alertará por e-mail:

• 0 = desativado
• 1 = habilitado

E definimos o e-mail, como pode ser visto na imagem:

 # [0 = desativado, 1 = ativado] email_alert = 1

Também definimos se apenas receberemos um alerta e moveremos o arquivo infectado para a quarentena para que ele não possa ser executado.

 # [0 = alerta apenas, 1 = mover para quarentena e alerta] quar_hits = 0

Como escanear

Dependendo da estrutura do servidor e do caminho do domínio ou arquivo a ser verificado.
A opção -a indica Tudo verificar todos os arquivos nesse diretório.

 [root @ server1 maldetect-1.4.2] # maldet -a / home / user / public_html

Para ver o último relatório que geramos, executaremos:

 [root @ server1 maldetect-1.4.2] # maldet -report

Abaixo, mostramos um exemplo de relatório de malware encontrado em uma verificação de todos os domínios de um servidor, na lista ele será visto em Lista de acertos do arquivo o nome do malware, o arquivo e o número da linha de código onde se encontra, neste caso foram encontrados 2 arquivos infectados.

 [root @ server1 maldetect-1.4.2] # maldet --scan-all / home relatório de verificação de detecção de malware para server.mydomain.com: SCAN ID: 02233-0315.9516 HORA: 6 DE JUNHO 07:02:44 +0300 CAMINHO: / home * / * / public_html FAIXA: 2 dias TOTAL DE ARQUIVOS: 8406 TOTAL DE ACESSOS: 1 TOTAL LIMPOS: 0 LISTA DE ACESSOS DE ARQUIVOS: {HEX} php.cmdshell.unclassed.344: / home / user1 / public_html / images / upload / files / asphoto.php.pjpg.webp {HEX} php.nested.base64.513: /home/user2/public_html/formulario.php

Se uma detecção de falso positivo for encontrada, o arquivo pode ser recuperado da quarentena com:

 [root @ server1 maldetect-1.4.2] # maldet -restore /home/user2/public_html/form.php

Existem outras configurações mais avançadas para Maldetect, até mesmo para funcionar usando o Antivírus clamav presente em muitos servidores.

Gostou e ajudou este tutorial?Você pode recompensar o autor pressionando este botão para dar a ele um ponto positivo