Cómo detectar y limpiar malware de un servidor Linux con Maldet
El malware es un software malicioso cuyo objetivo es interrumpir el funcionamiento normal y fluido de un sistema informático o servidor, recopilar información privada o simplemente obtener acceso no autorizado al sistema/servidor. Los sistemas Linux son conocidos por tener poco software malicioso en comparación con Windows, pero eso no significa que los usuarios de Linux deban estar tranquilos.
La mayoría de los ataques en Linux están dirigidos a explotar errores en servicios como contenedores Java y navegadores, y su objetivo principal es cambiar cómo funciona el servicio objetivo y, a veces, cerrarlo completamente.
Uno de los ataques más peligrosos en un sistema Linux es cuando un atacante intenta obtener las credenciales de inicio de sesión de un usuario. Cuando esto tiene éxito, el hacker puede ejecutar cualquier cosa que desee y tener acceso a datos confidenciales. También pueden atacar otras máquinas conectadas al servidor Linux. Para combatir esto, los usuarios pueden usar Maldet para detectar y limpiar malware de Linux y mantener sus sistemas limpios.
Detección de Malware en Linux
Maldet también es conocido como Linux Malware Detect (LMD). Es un escáner de malware para Linux que fue desarrollado para manejar amenazas comunes en entornos de alojamiento compartido. Utiliza datos de amenazas de sistemas de detección de intrusiones en el borde de la red para extraer malware que se está utilizando activamente en ataques y genera firmas para la detección. Aunque suena complicado, es fácil de usar.
Instalación de Maldet
Abre una terminal y ejecuta el siguiente comando para descargar la aplicación:
wget http://www.rfxn.com/downloads/maldetect-current.tar.gz
Descomprime el archivo de archivo descargado utilizando el siguiente comando:
tar-xvf maldetect-current.tar.gzCambia la carpeta activa a la carpeta que contiene el archivo maldetect extraído:
cd maldetect-x.y“x.y” es el número de versión de la aplicación. En esta carpeta hay un script llamado “install.sh”. El siguiente paso es ejecutar el script utilizando el siguiente comando:
sudo ./install.sh
Si la instalación es exitosa, se te notificará. También se te informará dónde se instaló Maldet. En mi caso, se instaló como “/usr/local/maldetect.”
Configuración
Después de que Maldet esté instalado, se crea un archivo de configuración en el directorio de Maldet llamado “conf.maldet.” Para editarlo, ábrelo utilizando un editor de texto.
gksu gedit /usr/local/maldetect/conf.maldetO puedes usar “nano” o “vi” para editarlo en la terminal:
sudonano/usr/local/maldetect/conf.maldetA continuación se muestra un ejemplo de opciones que se pueden establecer:
Notificación por correo electrónico
Recibe una notificación por correo electrónico cuando se detecte malware.
- Establece “email_alert” en 1.
- Agrega tu dirección de correo electrónico a la opción “email_addr”.
- Cambia “email_ignore_clean” a 1. Esto se utiliza para ignorar alertas que se te envían cuando el malware se limpia automáticamente.
Opciones de cuarentena
Acciones a tomar cuando se detecta malware:
- Establece “quarantine_hits” en 1 para que los archivos afectados sean automáticamente puestos en cuarentena.
- Establece “quarantine_clean” en 1 para limpiar automáticamente los archivos afectados. Establecer esto en 0 te permite inspeccionar primero los archivos antes de limpiarlos.
- Establecer “quarantine_suspend_user” en 1 suspenderá a los usuarios cuyos cuentas estén afectadas, mientras que “quarantine_suspend_user_minuid” establece el ID de usuario mínimo a suspender. Esto se establece en 500 por defecto, pero se puede cambiar.
Hay muchas otras opciones de configuración que puedes revisar y hacer los cambios necesarios. Una vez que hayas terminado con la configuración, guarda y cierra el archivo.
Escaneo de Malware
Puedes ejecutar un escaneo básico manualmente o automatizar un escaneo para que se realice periódicamente.
Para ejecutar un escaneo, ejecuta el siguiente comando:
sudo maldet --scan-all/folders/to/scan
Cuando se ejecuta este comando, se construye una lista de archivos a partir de los directorios en la ruta y comienza el escaneo de los archivos. Cambia la ruta del archivo “/folders/to/scan” al directorio donde deseas que Maldet escanee. Después de escanear, se genera un informe y puedes ver qué archivos están afectados.
Cómo poner en cuarentena archivos afectados
Si estableciste “quarantine_hits” en 1, Maldet moverá automáticamente los archivos afectados a cuarentena. Cuando se establece en 0, el informe generado te muestra la ubicación de los archivos afectados. Luego puedes inspeccionar los archivos y decidir si limpiarlos o no.
Restaurar un archivo
A veces puedes tener un falso positivo que lleva a que un archivo sea puesto en cuarentena por la razón equivocada. Para restaurar dicho archivo, ejecuta el siguiente comando:
sudo maldet -restore NOMBRE_DEL_ARCHIVOEscaneo automático
Durante la instalación de Maldet, también se instala una función de cronjob en “/etc/cron.daily/maldet.” Esto escaneará los directorios de inicio, así como cualquier archivo/carpeta que se haya cambiado recientemente a diario. Siempre te notificará sobre cualquier malware a través de la dirección de correo electrónico en el archivo de configuración.
Conclusión
Muchas personas dicen que los sistemas Linux son inmunes al malware, pero eso no es cierto. Puedes ser engañado para instalar software malicioso, o el malware incluso puede propagarse a través de correos electrónicos, y esto causaría daños a tu sistema. También hay muchas otras vulnerabilidades donde los hackers intentan obtener acceso no autorizado, haciendo que el sistema sea inseguro. Para mantenerte a salvo, puedes usar Maldet para mantener tu sistema limpio. Otras medidas que puedes tomar incluyen configurar la monitorización de la red y reglas de firewall, entre otras.
