مقدمه

یکی از روش‌های متداول مهاجمان برای حفظ دسترسی به سرور، نصب Rootkit است. Rootkitها مجموعه‌ای از ابزارها و بدافزارها هستند که تلاش می‌کنند فعالیت خود را از مدیر سیستم مخفی کرده و امکان دسترسی دائمی مهاجم را فراهم کنند.

یکی از قدیمی‌ترین و شناخته‌شده‌ترین ابزارهای شناسایی Rootkit در لینوکس، Chkrootkit است.

این ابزار با بررسی فایل‌های سیستمی، پردازش‌ها، ماژول‌های هسته، رابط‌های شبکه و نشانه‌های شناخته‌شده آلودگی، احتمال وجود Rootkit یا Backdoor را بررسی می‌کند.

در این مقاله، نحوه نصب و راه‌اندازی اولیه Chkrootkit را بررسی خواهیم کرد.

Chkrootkit چیست؟

Chkrootkit یک ابزار متن‌باز برای شناسایی Rootkitهای شناخته‌شده در سیستم‌های لینوکسی و یونیکسی است.

این ابزار سیستم را از نظر وجود:

• Rootkit
• Backdoor
• فایل‌های مخرب
• پردازش‌های پنهان
• تغییرات غیرعادی در سیستم

بررسی کرده و نتایج را گزارش می‌دهد.

Chkrootkit چگونه کار می‌کند؟

Chkrootkit مجموعه‌ای از تست‌ها را روی سیستم اجرا می‌کند.

این تست‌ها شامل بررسی موارد زیر هستند:

• فایل‌های سیستمی
• دستورهای مهم لینوکس
• ماژول‌های هسته
• پردازش‌های در حال اجرا
• وضعیت شبکه
• فایل‌های مخفی
• نشانه‌های شناخته‌شده Rootkitها

پیش‌نیازها

قبل از نصب:

• با کاربر Root یا کاربری دارای دسترسی sudo وارد شوید.
• سیستم‌عامل را بروزرسانی کنید.
• اتصال اینترنت برقرار باشد.

نصب در Ubuntu و Debian

ابتدا فهرست بسته‌ها را بروزرسانی کنید:

sudo apt update

سپس:

sudo apt install chkrootkit -y

نصب در AlmaLinux، Rocky Linux و RHEL

ابتدا مخزن EPEL را فعال کنید:

sudo dnf install epel-release -y

سپس:

sudo dnf install chkrootkit -y

در نسخه‌های قدیمی‌تر می‌توان از yum استفاده کرد.

بررسی نصب

برای اطمینان از نصب صحیح:

chkrootkit -V

یا:

chkrootkit -h

ممکن است بسته به نسخه، گزینه -V در همه توزیع‌ها پشتیبانی نشود؛ در این صورت از -h یا اطلاعات بسته (rpm -qi chkrootkit یا apt show chkrootkit) استفاده کنید.

محل نصب

معمولاً فایل اجرایی در یکی از مسیرهای زیر قرار دارد:

/usr/sbin/chkrootkit

یا:

/usr/bin/chkrootkit

برای بررسی:

which chkrootkit

بررسی فایل‌های نصب‌شده

در Debian و Ubuntu:

dpkg -L chkrootkit

در AlmaLinux و Rocky Linux:

rpm -ql chkrootkit

بررسی سرویس

Chkrootkit معمولاً به‌صورت یک سرویس دائمی اجرا نمی‌شود و هنگام اجرای دستور اسکن فعال می‌شود.

در برخی توزیع‌ها ممکن است یک Cron Job یا Systemd Timer برای اجرای دوره‌ای آن ایجاد شده باشد.

بررسی Cron Job

برای مشاهده:

ls -lah /etc/cron.daily/

در برخی توزیع‌ها فایل مربوط به Chkrootkit در این مسیر قرار دارد.

محل لاگ‌ها

در بسیاری از توزیع‌ها، Chkrootkit خروجی را مستقیماً در ترمینال نمایش می‌دهد.

اگر از طریق Cron اجرا شود، ممکن است خروجی در Syslog یا از طریق ایمیل برای کاربر Root ارسال شود.

همچنین می‌توانید خروجی را در فایل ذخیره کنید:

sudo chkrootkit > /var/log/chkrootkit.log

تفاوت Chkrootkit و RKHunter

آیا Chkrootkit به‌تنهایی کافی است؟

خیر.

Chkrootkit ابزار مفیدی برای شناسایی Rootkitهای شناخته‌شده است، اما به‌تنهایی نمی‌تواند تمام تهدیدات امنیتی را شناسایی کند.

بهتر است در کنار آن از ابزارهای زیر نیز استفاده شود:

• RKHunter
• AIDE
• ClamAV
• Fail2Ban
• Auditd
• Imunify360 (در صورت استفاده)

اشتباهات رایج

برخی از خطاهای متداول عبارت‌اند از:

• تصور اینکه Chkrootkit یک آنتی‌ویروس کامل است.
• نادیده گرفتن هشدارهای مهم
• تفسیر تمام هشدارها به‌عنوان آلودگی قطعی
• استفاده از نسخه‌های قدیمی بدون بروزرسانی سیستم‌عامل

بهترین روش‌ها

برای استفاده مؤثر:

• سیستم‌عامل را همواره بروزرسانی کنید.
• اسکن‌های دوره‌ای انجام دهید.
• نتایج را با RKHunter مقایسه کنید.
• هشدارها را پیش از حذف فایل‌ها بررسی کنید.
• از فایل‌های مهم نسخه پشتیبان تهیه کنید.

چک‌لیست

پس از نصب، موارد زیر را بررسی کنید:

• Chkrootkit با موفقیت نصب شده است.
• فایل اجرایی در سیستم موجود است.
• مسیر نصب بررسی شده است.
• در صورت نیاز، خروجی در فایل لاگ ذخیره می‌شود.
• اجرای دوره‌ای (در صورت استفاده) بررسی شده است.

جمع‌بندی

Chkrootkit یکی از ابزارهای شناخته‌شده برای شناسایی Rootkit و برخی نشانه‌های نفوذ در سرورهای لینوکسی است. این ابزار با اجرای مجموعه‌ای از تست‌های امنیتی، وضعیت فایل‌های سیستمی، پردازش‌ها و اجزای مختلف سیستم را بررسی کرده و هرگونه مورد مشکوک را گزارش می‌دهد.

اگرچه Chkrootkit ابزار مفیدی برای بررسی اولیه امنیت سرور است، اما نباید تنها به آن اکتفا کرد. استفاده هم‌زمان از RKHunter، AIDE، Fail2Ban، ClamAV و بررسی منظم لاگ‌های سیستم، دید کامل‌تر و دقیق‌تری از وضعیت امنیتی سرور در اختیار مدیر سیستم قرار می‌دهد.

کیان پور