LMD (Linux Malware Detect) est un détecteur de logiciels malveillants open source pour les systèmes d'exploitation Linux. LMD est particulièrement conçu pour les environnements d'hébergement partagé afin de détecter et d'éliminer les menaces dans le fichier des utilisateurs.
Dans ce guide, nous allons installer Linux Malware Detect (LMD) avec ClamAV sur Debian 9 / Ubuntu 16.04 / LinuxMint 18 .
Installer Linux Malware Detect sur Debian
LMD n'est pas disponible sur les référentiels de base en tant que package prédéfini, mais vous pouvez obtenir LMD sous forme d'archive sur le site Web officiel du projet.
Télécharger la dernière version de LMD (v1.6.2) en utilisant la commande suivante.
cd /tmp/ curl -O http://www.rfxn.com/downloads/maldetect-current.tar.gz
Décompressez l'archive à l'aide de la commande tar .
tar -zxvf maldetect-current.tar.gz
Allez dans le répertoire extrait.
cd maldetect-1.6.2/
Exécutez le script d'installation install.sh présent dans le répertoire extrait.
bash install.sh
Sortie :
Created symlink /etc/systemd/system/multi-user.target.wants/maldet.service → /usr/lib/systemd/system/maldet.service.
update-rc.d: error: unable to read /etc/init.d/maldet
Linux Malware Detect v1.6
(C) 2002-2017, R-fx Networks <[email protected]>
(C) 2017, Ryan MacDonald <[email protected]>
This program may be freely redistributed under the terms of the GNU GPL
installation completed to /usr/local/maldetect
config file: /usr/local/maldetect/conf.maldet
exec file: /usr/local/maldetect/maldet
exec link: /usr/local/sbin/maldet
exec link: /usr/local/sbin/lmd
cron.daily: /etc/cron.daily/maldet
maldet(933): {sigup} performing signature update check...
maldet(933): {sigup} local signature set is version 2017070716978
maldet(933): {sigup} new signature set (201708255569) available
maldet(933): {sigup} downloading https://cdn.rfxn.com/downloads/maldet-sigpack.tgz
maldet(933): {sigup} downloading https://cdn.rfxn.com/downloads/maldet-cleanv2.tgz
maldet(933): {sigup} verified md5sum of maldet-sigpack.tgz
maldet(933): {sigup} unpacked and installed maldet-sigpack.tgz
maldet(933): {sigup} verified md5sum of maldet-clean.tgz
maldet(933): {sigup} unpacked and installed maldet-clean.tgz
maldet(933): {sigup} signature set update completed
maldet(933): {sigup} 15218 signatures (12485 MD5 | 1954 HEX | 779 YARA | 0 USER) Configurer la détection des logiciels malveillants Linux
/usr/local/maldetect/conf.maldet est le fichier de configuration principal de LMD. Vous pouvez modifier ses paramètres selon vos besoins.
nano /usr/local/maldetect/conf.maldet
Vous trouverez ci-dessous les quelques paramètres que vous devriez avoir sur LMD pour une détection et une suppression réussies des menaces de logiciels malveillants.
# Enable Email Alerting email_alert="1" # Email Address in which you want to receive scan reports email_addr="[email protected]" # Use with ClamAV scan_clamscan="1" # Enable scanning for root-owned files. Set 1 to disable. scan_ignore_root="0" # Move threats to quarantine quarantine_hits="1" # Clean string based malware injections quarantine_clean="1" # Suspend user if malware found. quarantine_suspend_user="1" # Minimum userid value that be suspended quarantine_suspend_user_minuid="500"
Si vous ne souhaitez pas utiliser LMD avec ClamAV, ignorez la partie ci-dessous.
Détecter les logiciels malveillants Linux avec ClamAV
LMD fonctionne mieux avec ClamAV, en particulier lorsqu'il s'agit d'analyser de grands ensembles de fichiers. ClamAV (Clam Antivirus) est un moteur antivirus open source pour détecter les virus, logiciels malveillants, chevaux de Troie et autres menaces malveillantes.
ClamAV est disponible dans le référentiel de base, vous pouvez donc utiliser la commande apt pour l'installer.
apt-get -y install clamav clamav-daemon clamdscan
Par défaut, l'utilisation de ClamAV avec LMD a été activée.
Analyser avec Linux Malware Detect
Laissez-nous tester la fonctionnalité de LMD en téléchargeant un exemple de signature de virus sur le site Web d'EICAR.
cd /tmp wget http://www.eicar.org/download/eicar_com.zip wget http://www.eicar.org/download/eicarcom2.zip
Maintenant, analysez le répertoire /tmp à la recherche de logiciels malveillants.
maldet -a /tmp
Sortie :
Linux Malware Detect v1.6.2
(C) 2002-2017, R-fx Networks <[email protected]>
(C) 2017, Ryan MacDonald <[email protected]>
This program may be freely redistributed under the terms of the GNU GPL v2
maldet(4209): {scan} signatures loaded: 15218 (12485 MD5 | 1954 HEX | 779 YARA | 0 USER)
maldet(4209): {scan} building file list for /tmp, this might take awhile...
maldet(4209): {scan} setting nice scheduler priorities for all operations: cpunice 19 , ionice 6
maldet(4209): {scan} file list completed in 0s, found 4 files...
maldet(4209): {scan} found clamav binary at /usr/bin/clamscan, using clamav scanner engine...
maldet(4209): {scan} scan of /tmp (4 files) in progress...
maldet(4209): {scan} processing scan results for hits: 2 hits 0 cleaned
maldet(4209): {scan} scan completed on /tmp: files 4, malware hits 2, cleaned hits 0, time 12s
maldet(4209): {scan} scan report saved, to view run: maldet --report 171026-1103.4209 À partir de la sortie, vous pouvez remarquer que LMD utilise le moteur d'analyse ClamAV pour effectuer l'analyse et a réussi à trouver deux occurrences de logiciels malveillants.
Rapport d'analyse du détecteur de logiciels malveillants Linux
LMD stocke ses rapports d'analyse sous /usr/local/maldetect/sess/ . Utilisez la commande maldet avec SCAN ID pour voir le rapport d'analyse détaillé.
maldet --report 171026-1103.4209
Sortie :
HOST: lmd
SCAN ID: 171026-1103.4209
STARTED: Oct 26 2017 11:03:16 +0000
COMPLETED: Oct 26 2017 11:03:28 +0000
ELAPSED: 12s [find: 0s]
PATH: /tmp
TOTAL FILES: 4
TOTAL HITS: 2
TOTAL CLEANED: 0
FILE HIT LIST:
{HEX}EICAR.TEST.10 : /tmp/eicar_com.zip => /usr/local/maldetect/quarantine/eicar_com.zip.296395948
{HEX}EICAR.TEST.10 : /tmp/eicarcom2.zip => /usr/local/maldetect/quarantine/eicarcom2.zip.418410660
===============================================
Linux Malware Detect v1.6.2 < [email protected] > Mettre à jour la détection des logiciels malveillants Linux
Utilisez la commande ci-dessous pour mettre à jour votre LMD.
maldet -d
Pour mettre à jour les signatures LMD, exécutez :
maldet -u
C'est tout.