Как обнаружить и очистить вредоносное ПО с сервера Linux с помощью Maldet

Вредоносное ПО — это вредоносное программное обеспечение, цель которого — нарушить нормальную работу компьютерной системы или сервера, собрать личную информацию или просто получить несанкционированный доступ к системе/серверу. Системы Linux известны тем, что имеют меньше вредоносного ПО по сравнению с Windows, но это не значит, что пользователи Linux могут расслабиться.

Большинство атак на Linux направлены на использование уязвимостей в таких службах, как контейнеры java и браузеры, и их главная цель — изменить работу целевой службы и иногда полностью ее остановить.

Одной из самых опасных атак на систему Linux является попытка злоумышленника получить учетные данные пользователя. Когда это удается, хакер может выполнять любые команды и получить доступ к конфиденциальным данным. Они также могут атаковать другие машины, подключенные к серверу Linux. Чтобы противостоять этому, пользователи могут использовать Maldet для обнаружения и очистки вредоносного ПО из Linux и поддержания чистоты своих систем.

Обнаружение вредоносного ПО для Linux

Maldet также известен как Linux Malware Detect (LMD). Это сканер вредоносного ПО для Linux, который был разработан для борьбы с угрозами, распространенными в средах общего хостинга. Он использует данные о угрозах из систем обнаружения вторжений на границе сети для извлечения вредоносного ПО, которое активно используется в атаках, и генерирует сигнатуры для обнаружения. Хотя это звучит сложно, на самом деле это легко использовать.

Установка Maldet

Откройте терминал и выполните команду ниже, чтобы загрузить приложение:

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

Распакуйте загруженный архив с помощью команды ниже:

tar-xvf maldetect-current.tar.gz

Смените активную папку на папку, содержащую извлеченный файл maldetect:

cd maldetect-x.y

“x.y” — это номер версии приложения. В этой папке находится скрипт “install.sh”. Следующий шаг — запустить скрипт с помощью следующей команды:

sudo ./install.sh

Если установка прошла успешно, вы получите уведомление. Вам также будет сообщено, где был установлен Maldet. В моем случае он был установлен как “/usr/local/maldetect.”

Конфигурация

После установки Maldet в каталоге Maldet создается файл конфигурации под названием “conf.maldet.” Чтобы отредактировать его, откройте его с помощью текстового редактора.

gksu gedit /usr/local/maldetect/conf.maldet

Или вы можете использовать “nano” или “vi” для редактирования в терминале:

sudonano/usr/local/maldetect/conf.maldet

Ниже приведен пример параметров, которые могут быть установлены:

Уведомление по электронной почте

Получайте уведомление по электронной почте, когда обнаруживается вредоносное ПО.

• Установите “email_alert” в 1.
• Добавьте свой адрес электронной почты в параметр “email_addr”.
• Измените “email_ignore_clean” на 1. Это используется для игнорирования уведомлений, отправляемых вам, когда вредоносное ПО автоматически очищается.

Опции карантина

Действия, которые необходимо предпринять при обнаружении вредоносного ПО:

• Установите “quarantine_hits” в 1, чтобы затронутые файлы автоматически помещались в карантин.
• Установите “quarantine_clean” в 1, чтобы автоматически очищать затронутые файлы. Установка этого параметра в 0 позволяет вам сначала проверить файлы перед их очисткой.
• Установка “quarantine_suspend_user” в 1 приостановит пользователей, чьи учетные записи затронуты, в то время как “quarantine_suspend_user_minuid” устанавливает минимальный идентификатор пользователя, который будет приостановлен. По умолчанию это значение установлено на 500, но его можно изменить.

Существует множество других параметров конфигурации, которые вы можете просмотреть и внести необходимые изменения. После завершения конфигурации сохраните и закройте файл.

Сканирование вредоносного ПО

Вы можете вручную запустить базовое сканирование или автоматизировать сканирование, чтобы оно происходило периодически.

Чтобы запустить сканирование, выполните следующую команду:

sudo maldet --scan-all/folders/to/scan

Когда эта команда выполнена, создается список файлов из каталогов в пути, и начинается сканирование файлов. Измените путь к файлу “/folders/to/scan” на каталог, который вы хотите, чтобы Maldet просканировал. После сканирования создается отчет, и вы можете увидеть, какие файлы затронуты.

Как поместить затронутые файлы в карантин

Если вы установили “quarantine_hits” в 1, Maldet автоматически переместит затронутые файлы в карантин. Когда он установлен на 0, сгенерированный отчет показывает вам местоположение затронутых файлов. Вы можете проверить файлы и решить, очищать их или нет.

Восстановление файла

Иногда у вас может быть ложное срабатывание, в результате которого файл помещается в карантин по неправильной причине. Чтобы восстановить такой файл, выполните следующую команду:

sudo maldet -restore FILENAME

Автоматическое сканирование

Во время установки Maldet также устанавливается функция cronjob по адресу “/etc/cron.daily/maldet.” Это будет сканировать домашние каталоги, а также любые файлы/папки, которые были недавно изменены, ежедневно. Он всегда будет уведомлять вас о любом вредоносном ПО через адрес электронной почты в файле конфигурации.

Заключение

Многие люди говорят, что системы Linux иммунны к вредоносному ПО, но это не так. Вы можете быть обмануты и установить вредоносное программное обеспечение, или вредоносное ПО может даже распространяться через электронные письма, что может нанести ущерб вашей системе. Существуют также многие другие уязвимости, где хакеры пытаются получить несанкционированный доступ, что делает систему небезопасной. Чтобы оставаться в безопасности, вы можете использовать Maldet, чтобы поддерживать свою систему в чистоте. Другие меры, которые вы можете предпринять, включают настройку мониторинга сети и правил брандмауэра и другие.