Rootkit Hunter als 3rd-party-app

[QTip]

Nach langer Pause mal wieder ein neuer Wurf von mir
Da ja oft über die Sicherheit unserer DiskStation geredet wird, hier mal ein Tool das häufig auf im Internet befindlichen dedicated Linux Servern im Einsatz ist. Ich dachte mir, wieso eigentlich nicht auf unserer DiskStation laufen lassen? Und hier ist es nun, das Rootkit Hunter SPK.

Einleitung:

Rootkit Hunter ist ein Tool zum Aufspüren von Rootkits, Backdoors und lokalen Exploits auf Linux Systemen. Projectpage von Rootkit Hunter
Folgende Tests werden durchgeführt:

• MD5/SHA1 Hash Vergleich
• Suche nach bekannen Rootkits
• Überprüfung der Rechte von ausführbaren Dateien
• Suche nach verstecksten Dateien
• optional wird der Inhalt von Text und Binär Dateien gescannt

Vorraussetzungen für den Betrieb von Rootkit Hunter generell:

• Perl
• diverse Utilities (find, wget, sed...)

Vorraussetzungen für den Betrieb von rkhunter.spk speziell:

• IPKG
• Init_3rdparty.spk

Installation:

Bei der Installation des Paketes wird überprüft, ob IPKG und die IPKG-Pakete coreutils sowie findutils vorhanden sind. Sollte IPKG fehlen, wird die Installation abgebrochen. Beim Fehlen eines des IPKG-Pakete werden diese nachinstalliert.
Hintergrund: Das in der Firmware vorhandene find ist nicht vollständig kompatibel bzw. bietet nicht alle Optionen, desweiteren fehlen sha1sum und md5sum.

Nach Installation des Paketes bitte die DSM-Seite aktualisieren und im Bereich Third-party applications den Eintrag Rootkit Hunter aufrufen. Das Paket enthält die eigentlichen Rootkit Hunter Binärdateien nicht, deshalb müssen sie vom SPK heruntergeladen und installiert werden. Dies dauert, abhängig von eurer DiskStation, eine Weile. Im Anschluss der Installation wird eine Datenbank von im System relevanten Dateien erstellt, welche für den späteren Vergleich herangezogen wird. Am Installationsende erscheint dann eine Meldung. Sollte Alles ordnungsgemäß verlaufen sein, wird durch Klick auf OK die Seite aktualisiert und die eigentliche Weboberfläche für den Rootkit Hunter erscheint.

Bedienung:

• Start: startet den Scan, vorab erscheint eine Sicherheitsabfrage (Dauer ca. 5 Minuten, abhängig von eurer DiskStation)

• Update: sucht nach Updates für die Module, läd runter und installiert sie, vorab erscheint eine Sicherheitsabfrage (Dauer ca. 5 Minuten, abhängig von eurer DiskStation)

• Stop: hiermit ist es möglich, einen laufenden Scan oder Update abzubrechen. Klappt allerdings nicht immer, da die Weboberfläche den Befehl manchmal nicht an die Shell abschicken kann. In diesem Fall hilft es, wenn man die Weboberfläche kurz verläßt und anschließend wieder aufruft. Im Statusfenster ist dann ein laufender Scan zu erkennen. Drückt man nun auf Stop, wird zu 99,9% der Prozess sofort abgebrochen. Das sollte auch bei einem Scan per Cronjob funktionieren.

• enable Cronjob: damit wird ein Eintrag in der crontab geschrieben, welchen den Scan zu einer vorgegeben Zeit automatisch durchführt (default täglich um 0:30 Uhr). Zum Anpassen der Zeit in der crontab empfehle ich crontabs.spk.

• enable Desktop icon: erzeugt einen Eintrag für den Desktop im DSM

Die Auswertung des Logdatei bleibt jedem selber überlassen, Hilfen gibt es im Internet genug Einige Warnungen können, wie oben erwähnt, ignoriert werden, Andere sollte man unbedingt beachten und ggf. beseitigen. Es werden hier sicherlich der Eine oder Andere ihre Hilfe bei diversen Fragen anbieten, deswegen sind wir ja auch eine Community, oder etwa nicht?

Anmerkungen:

Rootkit Hunter bietet die Möglichkeit eine automatische Mail bei Warnungen zu verschicken, die ich aber nicht aktiviert habe. Grund: Es gibt wiederkehrende Warnungen, welche bedingt durch das DiskStation-Linux immer angezeigt würden. Man bekäme dann nach jedem Lauf eine Email, obwohl sich am Zustand der DiskStation Nichts geändert hat.
Im Logfenster sieht man immer das aktuelle Log. Da die Logs bei jedem Lauf (Scan, Update) überschrieben werden, sollte man sich nach einem Scan das Log immer gleich anschauen und wenn benötigt wegsichern. In einer nächsten Version werde ich noch eine Logverwaltung mit automatischem Vergleich einbauen. Nur bei einer Abweichung würde dann eine Email generiert und versendet werden. Dazu kommt dann noch eine Konfiguration der diversen Kommandozeilen-Schalter, also eine webbasierende Anpassung der rkhunter.conf.

Wie immer geht Alles auf eigene Kappe! Bei Problemen mit der Installation oder der Ausführung gebe ich gerne Hilfestellung.

 

[itari]

Super ... Klasse

Bitte kopier das doch auch noch ins Wiki ...

GPL3?

Danke
Itari

 

[QTip]

Meine SPK's sind ja grundsätzlich GPL3, Rootkit Hunter selber ist GPL. Da ich nicht wußte, ob man den Rootkit Hunter mit in das Paket packen darf, wählte ich die Installation per SPK. Wollte ja keine Rechte verletzen Werde aber wohl in der nächsten Version auf dem Installationsscreen noch einen Hinweis bezüglich der Lizenz machen.

Klar pack es noch ins Wiki und ergänze die Liste der SPK's, den Wiki Beitrag vielleicht aber auch erst morgen.

 

[itari]

Meine SPK's sind ja grundsätzlich GPL3, Rootkit Hunter selber ist GPL. Da ich nicht wußte, ob man den Rootkit Hunter mit in das Paket packen darf, wählte ich die Installation per SPK. Wollte ja keine Rechte verletzen

Wenn die Teile selbst GPL sind, dann dürfte es keine Probleme machen, sie miteinzupacken .... allerdings hast dann eventuelle Updates am Hals ...

Werde aber wohl in der nächsten Version auf dem Installationsscreen noch einen Hinweis bezüglich der Lizenz machen.

Wegen mir nicht ... mir reicht an der Stelle der Hinweis, wo ich es downloade ... meine Frage ist dann einfach nur rhetorisch, weil ich mir sicher sein möchte ... (du kennst meine Diskussion dazu ja, ich will Skript-Beispiele gerne auch im Unterricht verwenden dürfen, ohne das mir dann jemand an den Kragen geht )

Klar pack es noch ins Wiki und ergänze die Liste der SPK's, den Wiki Beitrag vielleicht aber auch erst morgen.

*freu*

Itari

 

[QTip]

Ich muss bei einem Versionwechsel dann eh ein neues Paket bauen, da der Link zum Download leider nicht gleich bleibend ist. Hatte schon überlegt die CSV-Version zu benutzen, aber wer weiss was danach dann nicht mehr funktioniert Allerdings werden durch die Updatefunktion vom Rootkit Hunter die Module selbst erneuert. Konnte leider noch nicht testen, was bei einer komplett neuen Version und einem Update mit der Versionsnummer passiert.
Meinst man kann eine CSV-Version ohne Bedenken benutzen? Für mich privat wäre das kein Ding, nur hier in der Community vielleicht nicht so prickelnd.

 

[Mexx]

@QTip

danke für das nette Tool, habes installiert und funktioniert vorzüglich!

wird eine Datenbank von im System relevanten Dateien erstellt

wo legt er die an ? in MySql konnte ich nichts finden

habe einige warnings erhalten, nicht viele:

[19:45:08] Info: No mail-on-warning address configured

denke das wird die deaktivierte Mailfunktion sein

[19:45:21] Warning: Checking for prerequisites               [ Warning ]

keine Ahnung was dies heißen soll ?

[19:48:09]   Checking if SSH root access is allowed          [ Warning ]

also telnet (terminal) ist bei mir deaktiviert, aber was ist dann damit gemeint

[19:48:09] Warning: The SSH configuration option 'PermitRootLogin' has not been set.
           The default value may be 'yes', to allow root access.

wie könnte ich dies lösen ?

[19:48:09]   Checking for syslog configuration file          [ Warning ]

was soll ich da checken ?

[19:48:10] Warning: The syslog daemon is running, but no configuration file can be found.

darf der nicht laufen ?

so das wars an warning´s

 

[QTip]

@QTip

danke für das nette Tool, habes installiert und funktioniert vorzüglich!

gern geschehen

wird eine Datenbank von im System relevanten Dateien erstellt

wo legt er die an ? in MySql konnte ich nichts finden

eine Datenbank kann auch in einer Datei existieren., muss nicht zwingend MySQL sein, welche ja im Grunde auch nur aus Dateien besteht. Die Datei heisst rkhunter.dat und ist eine reine Textdatei.

habe einige warnings erhalten, nicht viele:

[19:45:08] Info: No mail-on-warning address configured

denke das wird die deaktivierte Mailfunktion sein

genau, man kann die Funktion auch noch explizit in der rkhunter.conf deaktivieren, da aber keine Mailadresse eingetragen ist, schickt er ne Warnung aus. In der nächsten Version werde ich das komplett deaktivieren, geht glaube aber nur per Kommandozeile mit dem Parameter --nomow. Da ich aber ein eigenes Shellscript für die Steuerung des Rootkit Hunters benutze, müsste man es dort anpassen.

[19:45:21] Warning: Checking for prerequisites               [ Warning ]

keine Ahnung was dies heißen soll ?

Es testet die Vorraussetzungen/Bedingungen, ist bei mir auch als Warnung aufgepoppt. Da in dem Abschnitt dadrunter alles OK ist, habe ich das ignoriert.

[19:48:09]   Checking if SSH root access is allowed          [ Warning ]

also telnet (terminal) ist bei mir deaktiviert, aber was ist dann damit gemeint

[19:48:09] Warning: The SSH configuration option 'PermitRootLogin' has not been set.
           The default value may be 'yes', to allow root access.

wie könnte ich dies lösen ?

Wir loggen uns ja auf der DiskStation per Telnet oder SSH als root ein, deshalb die Meldung. Man müsste aus Sicherheitsgründen dieses Login deaktivieren und mit anderen Möglichkeiten dann die Rootrechte für diverse Aktionen erlangen, z.B, mit sudo und su. Weiss garnicht ob das möglich wäre, sollte man mal testen. Damit er die Warnung nicht mehr bringt, müsstest in der rkhunter.conf den Wert ALLOW_SSH_ROOT_USER=yes setzen

[19:48:09]   Checking for syslog configuration file          [ Warning ]

was soll ich da checken ?

[19:48:10] Warning: The syslog daemon is running, but no configuration file can be found.

darf der nicht laufen ?

Er meckert, da der SYSLOG-Daemon zwar läuft, er aber keine Konfigurationsdatei findet. Ich vermute mal, das der SYSLOG-Daemon bei der DS über Synology eigene Tools gesteuert wird. Evtl. würde man die Warnung beheben, wenn man eine leere Datei mit dem Namen syslog.conf in /etc ablegt.

so das wars an warning´s

und genau deshalb habe ich die Mailfunktion nicht aktiviert. Einige Warnungen wie das mit dem Root-Access würde man noch beseitigen können, aber der Rest ist einfach zu spezifisch für unsere DS.

 

[Mexx]

dank dir für die schnelle aufklärung

 

[lj1977]

im englischen Forum ...

Hallo und vielen Dank für die Anleitung!!

Habe im englischen Forum gesehen, dass zdDog (und sicherlich andere) auch sehr interessiert ist/sind ...

http://forum.synology.com/enu/viewtopic.php?f=130&t=15696

Vielleicht ist da ja einer von euch schon aktiver ...

Grüße

 

[itari]

Habe im englischen Forum gesehen, dass zdDog (und sicherlich andere) auch sehr interessiert ist/sind ...

Die dürfen auch gerne einen Blick hier ins Forum werfen Wir haben da ganz sicher keine Berührungsprobleme

Itari

 

[jahlives]

Habe das Teil auch mal installiert. Sogar mit Download der benötigten Pakete, echt angenehm. Auch der Scan ging recht zügig durch. Super Arbeit QTip

 

[zdDog]

Hallo und vielen Dank für die Anleitung!!

Habe im englischen Forum gesehen, dass zdDog (und sicherlich andere) auch sehr interessiert ist/sind ...

http://forum.synology.com/enu/viewtopic.php?f=130&t=15696

Vielleicht ist da ja einer von euch schon aktiver ...

Grüße

lol........

 

[QTip]

rkhunter 1.10 released!

Hi,
eine neue Version wurde in 1 monatiger Programmierung, Recherchen und Anpassungen fertiggestellt. Hunderte von Scans, Updates und Tests gingen voraus um es noch perfekter an die DiskStation anzupassen, die Bedienerfreundlichkeit zu vereinfachen und den Komfort zu heben. Die neue Version wurde gegenüber der Version 1.00 komplett überarbeit und stark erweitert.
Hier das Changelog:

• Aktualisierung: Projectseitenlink
• Hinzugefügt: Verzeichnis "db" für separate Datenbank Dateien
• Hinzugefügt: Verzeichnis "logs" für separate Logdateien
• Hinzugefügt: Verzeichnis "tmp" für Suspscan (Überprüfung der Dateien mit verdächtigen Inhalten). Der Test "Suspscan" ist standardmäßig in der rkhunter.conf deaktiviert, da sehr CPU- und Speicher-intensiv. Er kann aber bei Bedarf mit dem Konfigurationseditor im Abschnitt "ENABLE_TESTS" aktiviert werden
• Hinzugefügt: Getrennte Logdateien für diverse Operationen
• Änderung: Die Logdateien Bezeichnung wurde geändert, um einen besseren Zugriff per Samba Share zu gewährleisten.
• Änderung: Kompletter Verzicht auf Tabellen zur Seitengestaltung, stattdessen wurden nur Div's benutzt.
• Hinzugefügt: Logdateien Verwaltung
• Hinzugefügt: Umschalter zwischen STABLE und CVS Version
  Standardmäßig wird bei einer Neuinstallation immer die STABLE-Version installiert. Anschließend ist es Jedem selbst überlassen auf die CVS-Version zu wechseln. Ein Wechsel von einer STABLE zur CVS-Version oder umgekehrt ist jederzeit möglich.
• Hinzugefügt: Prüfung auf neue Version mit anschließendem optionalem Download.
• Änderung: Das automatische Update der Dateieigenschaften-Datenbank bei einem Scan ist nun standardmäßig ausgeschaltet. Diese Option kann auf Wunsch hinzugeschaltet werden. Bei einem Scan per Cronjob ist diese Option immer deaktiviert.
• Optimierung: Die rkhunter.conf wurde für die DiskStation optimiert und liegt nun ausserhalb des Rootkit Hunter Binär Verzeichnisses. Auf einem sauberen System sollten nun, abgesehen von der Meldung "Info: No mail-on-warning address configured", keine Warnungen mehr angezeigt werden. Im Falle einer Warnung entweder das Problem lösen oder mit dem Konfigurationseditor eine Ausnahme in den entsprechenden Abschnitt einfügen.
• Hinzugefügt: Zwei neue IPKG-Pakete werden, wenn nicht vorhanden, automatisch installiert. (file und lsof). Mit diesen beiden Paketen kann eine erweiterte Analyse vom Rootkit Hunter durchgeführt werden.
• Hinzugefügt: Einfacher Konfigurationseditor
  Mit dem Button "Help" bekommt man für den Abschnitt "LANGUAGE" und "ENABLE_TESTS" die möglichen Optionen angezeigt. Erneutes Betätigen des Buttons versteckt das Fenster wieder.
• Hinzugefügt: Tabs zum Umschalten zwischen Scanner und Konfigurationseditor (Dank an itari für die Idee in seinem Webbackup & Restore).
• Hinzugefügt: Eigenes "mail-on-warning"-Script, um die Mailfunktion auch für Benutzer zu ermöglichen, welche kein Tool wie z.B. sendmail installiert haben oder nicht installieren möchten.
  Das "mail-on-warning"-Script wurde durch Einbindung eines externen Perlscriptes ermöglicht, welches natürlich eine GPL Lizenz besitzt Die Daten für den EMail-Versand holt sich das Script aus der synoinfo.conf. Dazu muss die Benachrichtigungsfunktion unter System - Benachrichtigung im DSM aktiviert sein. Eine EMail wird nur generiert, wenn Warnungen im letzten Scan gemeldet wurden. Enthält die letzte Logdatei Warnungen, werden Diese zusätzlich in einer Logdatei festgehalten. Diese Logdatei wird dann als Anhang der EMail mitgeschickt. Ein User der keine Benachrichtigung aktiviert hat, kann die Logdatei in der Logdateien Verwaltung einsehen.

Ein Update der Dateieigenschaften-Datenbank sollte nach folgenden Aktionen durchgeführt werden:

• Änderungen an der rkhunter.conf durch den Rootkit Hunter Konfigurationseditor
• Nach einem Update der Firmware
• Nach einer Neuinstallation vom Rootkit Hunter (Wechsel zu oder von STABLE/CVS oder Erstinstallation/Aktualisierung des rkhunter.spk)

Wichtig: Der Aufbau der rkhunter.conf ist an einen vorgeschriebenen Rahmen geknüpft, ohne Diesen es nicht möglich gewesen wäre, den Konfigurationseditor in dieser Form zu realisieren. Änderungen an der rkhunter.conf bitte nur durch den eingebauten Rootkit Hunter Konfigurationseditor durchführen. Ansonsten könnte es zu unerwünschten Einträgen kommen und die rkhunter.conf unbrauchbar machen.

Im Anschluss einer Installation des Rootkit Hunter Paketes (nicht des SPK) wird automatisch ein Update der Module durchgeführt.
Die Version 1.10 des SPK-Paketes kann als Neuinstallation oder als Aktualisierung von Version 1.00 benutzt werden. Im Anschluss bitte 1x das DB Update durchführen, da sich die rkhunter.conf geändert hat.

Wie immer ist die Benutzung Jedem selbst überlassen und auf eigene Gefahr.

p.s.: Die nächste Version wird, wenn es mir gelingt, im ExtJS Gewand erscheinen und sich dem Look & Feel vom DSM anpassen

 

[itari]

Bravo!

Itari

 

[Neok]

Nach installation... Fehler.

Nach Installation bekomme ich den Fehler:
Error
tail: `-1' option is obsolete; use `-n 1'Try `tail --help' for more information.Invalid INSTALLDIR configuration option - no installation directory specified.

Hab nichts geändert an die Configuration, aber es funkioniert nicht !!
Hilfe !

Neok

 

[QTip]

Nach Installation bekomme ich den Fehler:
Error
tail: `-1' option is obsolete; use `-n 1'Try `tail --help' for more information.Invalid INSTALLDIR configuration option - no installation directory specified.

Hab nichts geändert an die Configuration, aber es funkioniert nicht !!
Hilfe !

Neok

Nach Installation vom SPK oder nach Installation vom Rootkit Hunter? Ist das IPKG bei dir installiert? An welcher Konfiguration hast du nichts geändert, an der vom Rootkit Hunter?
Ich brauch den Zeitpunkt, wann diese Fehlermeldung bei dir auftritt. Also ob nach Installation vom SPK, etc...)

Leute, muss man euch denn immer Alles erst aus der Nase ziehen? Hellsehen können wir noch nicht, obwohl manche die Unterbezeichnung "Syno-Gott" tragen

 

[denon2002]

Feines Teil

Hallo,

funktioniert ja auf Anhieb.

An alle: Nicht ungeduldig werden, die Installation des spk und des RootkitHunter dauerte je 2 - 4 Minuten.

War schon in Versuchung die Installation abzubrechen

 

[QTip]

Danke für dein Feedback Dachte schon, dass ich nach hunderten von Tests nun doch noch eine Sache übersehen habe. Wenigstens läuft es bei einem, von bisher immerhin schon 18 Downloads ohne Rückmeldungen.

Ja es dauert eine Weile, je nach Internet-Geschwindigkeit und DS Power, da einige IPKG-Pakete überprüft/installiert werden müssen und dann am Ende noch das Rootkit Hunter Binärfile selbst.
Aber nur so kann jeder in Punkto Rootkit Hunter immer auf dem aktuellen Stand bleiben.

 

[QTip]

tail: `-1' option is obsolete; use `-n 1'Try `tail --help' for more information.

Das ist nur eine Warnung, dass man statt -1 nun besser -n 1 benutzen sollte, da das so in zukünftigen Version von tail eventuell nicht mehr zur Verfügung steht.

Invalid INSTALLDIR configuration option - no installation directory specified.

Hier brauch ich echt noch mehr Informationen.

 

[amarthius]

Ich würd ja fast schon sagen; sei froh das sicht keiner meldet
Wie beim Essen, solange keiner redet schmeckts auch allen

Erstmal dickes Lob für die ganze Mühe! Hab mir den RHunter gezogen und installiert und lief alles ohne Probleme. Ein Scan läuft auch zur Zeit.

Bin nur etwas verwundert das mir der Ressourcenmonitor der DS sagt das sie zu 90% ausgelastet ist aber "top" nur von einer Auslastung ~10-15% anzeigt.

Ich glaub Synology will einem vorgaukeln das die DS zu ausgelastet ist und man sich gefälligst ein schnelleres Modell holt

Musste auch komischerweise IPKG installieren obwohl ich der Meinung war,dass ich es mal installiert hatte... Kann es sein das es durch das FW (914) entfernt wurde? Mmh...aber PHP/SQL Gedöns ist noch da... *grübel*

Ich glaub ich werd alt... und führe auch noch Selbstgespräche.


wo waren wir stehen geblieben? Tolles Programm