RKHunter 1.4.0

Z

Zervesa

Member
Hallo,

ich weiß das Thema gabs schon zur genüge, aber ich weiß grad nicht so recht weiter. Habe mich schon per Google eingelesen und erfahren das die neue Version von RKHunter 1.4.0 wohl nicht so recht mit Ubuntu klar kommt.

Daher kann es auch sein das auf einem frisch installiertem System Fehlermeldungen erzeugt werden.

Gibt es hier eine Lösung diese zu beheben?

Hier mal meine:

Code: 
[22:41:03]   /usr/sbin/adduser                               [ Warning ]
[22:41:03] Warning: The command '/usr/sbin/adduser' has been replaced by a script: /usr/sbin/adduser: a /usr/bin/perl script text executable

[22:41:09]   /usr/bin/ldd                                    [ Warning ]
[22:41:09] Warning: The command '/usr/bin/ldd' has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script text executable

[22:41:15]   /usr/bin/lwp-request                            [ Warning ]
[22:41:15] Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: a /usr/bin/perl -w script text executable

[22:41:24]   /bin/which                                      [ Warning ]
[22:41:24] Warning: The command '/bin/which' has been replaced by a script: /bin/which: POSIX shell script text executable

[22:42:23]     Checking '/etc/xinetd.d/poppassd_psa' for enabled services [ Warning ]
[22:42:23]     Checking '/etc/xinetd.d/time' for enabled services [ None found ]
[22:42:23]   Checking for enabled xinetd services            [ Warning ]
[22:42:23] Warning: Found enabled xinetd service: /etc/xinetd.d/ftp_psa
[22:42:23] Warning: Found enabled xinetd service: /etc/xinetd.d/poppassd_psa

[22:42:31]   Checking /dev for suspicious file types         [ Warning ]
[22:42:31] Warning: Suspicious file types found in /dev:

[22:42:33]   Checking for hidden files and directories       [ Warning ]
[22:42:33] Warning: Hidden directory found: '/dev/.udev'
[22:42:33] Warning: Hidden directory found: '/dev/.initramfs'

[22:42:38]   Checking version of GnuPG                       [ Warning ]
[22:42:38] Warning: Application 'gpg', version '1.4.10', is out of date, and possibly a security risk.
[22:42:38] Info: Application 'httpd' not found.

[22:42:38]   Checking version of OpenSSL                     [ Warning ]
[22:42:38] Warning: Application 'openssl', version '0.9.8k', is out of date, and possibly a security risk.
[22:42:38]   Checking version of PHP                         [ Warning ]
[22:42:38] Warning: Application 'php', version '5.3.2', is out of date, and possibly a security risk.
[22:42:38] Info: Application 'procmail' not found.

Habe die Xinetd Dienste schon in die Whitelist eingetragen aber trotzdem keine Änderung.
 
Das ist mehr oder weniger normal. Ubuntu -afaik keine Distro- trägt alle aktuellen Checksums in rkHunter was also zu diesen Meldungen führt.
Es ist die Arbeit des Sysadmin die Checksums der bis dato VERTRAUTEN Systemumgebung rkHunter bekannt zu geben, mittels propupdate.
Nach Updates müssen die entsprechenden Änderungen ggf ebenfalls wieder mitgeteilt werden.

Beachte allerdings dass der Betrieb von rkHunter aus einem laufenden System keinen Sinn ergibt denn wenn es kompromittiert ist wird eine der ersten Aktionen des (automatisierten) Angreifers sein, rkHunter gegen eine Version zu tauschen welche seine Änderungen nicht findet - genau wie top und ps modifiziert werden damit keine auffälligen Prozesse auffindbar sind.
Nur der Scan aus einer vertrauenswürdigen Rescue hat einen aussagekräftigen Wert für die analysierten Binaries unter Annahme dass diese keine Backdoors enthalten...
 
Besser? rkHunter macht seine Arbeit ganz gut.
Es gilt nur zu verstehen dass alle Anti-Lösungen nicht im Betrieb auf einer potentiell infiltrierten Machine vertrauenswürdig sind.
Übrigens genau wie dein Antivirus.
 
You must log in or register to reply here.
Back
Top