Come Rilevare e Pulire Malware da un Server Linux con Maldet

Il malware è un software malevolo il cui obiettivo è interrompere il normale funzionamento di un sistema informatico o server, raccogliere informazioni private o semplicemente ottenere accesso non autorizzato al sistema/server. I sistemi Linux sono noti per avere pochi software malevoli rispetto a Windows, ma ciò non significa che gli utenti Linux possano stare tranquilli.

La maggior parte degli attacchi su Linux mira a sfruttare bug in servizi come contenitori Java e browser, e il suo obiettivo principale è cambiare il modo in cui funziona il servizio mirato e a volte chiuderlo completamente.

Uno degli attacchi più pericolosi su un sistema Linux è quando un attaccante cerca di ottenere le credenziali di accesso di un utente. Quando questo ha successo, l’hacker può eseguire qualsiasi cosa voglia e avere accesso a dati riservati. Possono anche attaccare altre macchine collegate al server Linux. Per combattere questo, gli utenti possono utilizzare Maldet per rilevare e pulire il malware da Linux e mantenere i loro sistemi puliti.

Rilevamento Malware Linux

Maldet è anche conosciuto come Linux Malware Detect (LMD). È uno scanner di malware per Linux sviluppato per gestire minacce comuni negli ambienti di hosting condivisi. Utilizza dati sulle minacce provenienti da sistemi di rilevamento delle intrusioni ai margini della rete per estrarre malware attivamente utilizzato negli attacchi e genera firme per il rilevamento. Anche se sembra complicato, è facile da usare.

Installazione di Maldet

Apri un terminale ed esegui il comando qui sotto per scaricare l’applicazione:

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

Estrai il file dell’archivio scaricato utilizzando il comando qui sotto:

tar-xvf maldetect-current.tar.gz

Cambia la cartella attiva nella cartella contenente il file maldetect estratto:

cd maldetect-x.y

“x.y” è il numero di versione dell’applicazione. In questa cartella c’è lo script “install.sh”. Il passo successivo è eseguire lo script utilizzando il seguente comando:

sudo ./install.sh

Se l’installazione ha successo, verrai avvisato. Ti verrà anche detto dove è stato installato Maldet. Nel mio caso è stato installato come “/usr/local/maldetect.”

Configurazione

Dopo che Maldet è stato installato, viene creato un file di configurazione nella directory di Maldet chiamato “conf.maldet.” Per modificarlo, aprilo utilizzando un editor di testo.

gksu gedit /usr/local/maldetect/conf.maldet

Oppure puoi usare “nano” o “vi” per modificarlo nel terminale:

sudonano/usr/local/maldetect/conf.maldet

Di seguito è riportato un esempio di opzioni che possono essere impostate:

Notifica via Email

Ricevi una notifica via email quando viene rilevato malware.

• Imposta “email_alert” su 1.
• Aggiungi il tuo indirizzo email all’opzione “email_addr”.
• Cambia “email_ignore_clean” su 1. Questo serve per ignorare gli avvisi inviati a te quando il malware viene pulito automaticamente.

Opzioni di Quarantena

Azioni da intraprendere quando viene rilevato malware:

• Imposta “quarantine_hits” su 1 affinché i file interessati siano automaticamente messi in quarantena.
• Imposta “quarantine_clean” su 1 per pulire automaticamente i file interessati. Impostando questo su 0, puoi prima ispezionare i file prima di pulirli.
• Impostando “quarantine_suspend_user” su 1 verranno sospesi gli utenti i cui account sono interessati, mentre “quarantine_suspend_user_minuid” imposta l’ID utente minimo da sospendere. Questo è impostato su 500 per impostazione predefinita ma può essere cambiato.

Ci sono molte altre opzioni di configurazione che puoi esaminare e apportare le modifiche necessarie. Una volta terminata la configurazione, salva e chiudi il file.

Scansione del Malware

Puoi eseguire una scansione di base manualmente o automatizzare una scansione per avvenire periodicamente.

Per eseguire una scansione, esegui il seguente comando:

sudo maldet --scan-all/folders/to/scan

Quando questo comando viene eseguito, viene costruita un’elenco di file dalle directory nel percorso e inizia la scansione dei file. Cambia il percorso del file “/folders/to/scan” nella directory in cui desideri che Maldet esegua la scansione. Dopo la scansione, viene generato un rapporto e puoi quindi vedere quali file sono interessati.

Come Mettere in Quarantena i File Interessati

Se hai impostato “quarantine_hits” su 1, Maldet sposterà automaticamente i file interessati in quarantena. Quando è impostato su 0, il rapporto generato ti mostra la posizione dei file interessati. Puoi quindi ispezionare i file e decidere se pulirli o meno.

Ripristinare un File

A volte potresti avere un falso positivo che porta a un file messo in quarantena per il motivo sbagliato. Per ripristinare un file del genere, esegui il seguente comando:

sudo maldet -restore NOMEFILE

Scansione Automatica

Durante l’installazione di Maldet, viene installata anche una funzione cronjob in “/etc/cron.daily/maldet.” Questo scannerà le directory home così come eventuali file/cartelle che sono stati recentemente modificati su base giornaliera. Ti notificherà sempre di eventuali malware tramite l’indirizzo email nel file di configurazione.

Conclusione

Molte persone dicono che i sistemi Linux sono immuni al malware, ma non è vero. Puoi essere ingannato nell’installare software malevolo, o il malware può persino essere diffuso tramite email, e questo causerebbe danni al tuo sistema. Ci sono anche molte altre vulnerabilità in cui gli hacker cercano di ottenere accesso non autorizzato, rendendo il sistema insicuro. Per rimanere al sicuro, puoi utilizzare Maldet per mantenere il tuo sistema pulito. Altre misure che puoi adottare includono la configurazione del monitoraggio della rete e delle regole del firewall, tra le altre.