فحص البرامج الضارة والـ Rootkit: دليل rkhunter و ClamAV

# Ubuntu/Debian
sudo apt update
sudo apt install rkhunter -y

# CentOS/AlmaLinux/Rocky Linux
sudo dnf install rkhunter -y
# أو من مستودع EPEL:
sudo dnf install epel-release -y
sudo dnf install rkhunter -y

# تحديث قاعدة بيانات التوقيعات
sudo rkhunter --update

# تسجيل قيم الهاش الأولية لملفات النظام
# نفّذ هذا على نظام نظيف!
sudo rkhunter --propupd

# فحص كامل للنظام
sudo rkhunter --check

# الوضع غير التفاعلي (لـ cron)
sudo rkhunter --check --skip-keypress

# إظهار التحذيرات فقط
sudo rkhunter --check --rwo

# إخراج مفصّل
sudo rkhunter --check --verbose-logging

# عرض ملف السجل
sudo cat /var/log/rkhunter.log

# تصفية التحذيرات فقط
sudo grep -i warning /var/log/rkhunter.log

# عرض تقرير ملخص
sudo tail -50 /var/log/rkhunter.log

# Ubuntu/Debian
sudo apt update
sudo apt install clamav clamav-daemon -y

# CentOS/AlmaLinux
sudo dnf install clamav clamd clamav-update -y

# إيقاف خدمة ClamAV (للتحديث)
sudo systemctl stop clamav-freshclam

# تحديث قاعدة البيانات يدويًا
sudo freshclam

# إعادة تشغيل الخدمة
sudo systemctl start clamav-freshclam
sudo systemctl enable clamav-freshclam

# فحص مجلد واحد
sudo clamscan -r /home

# فحص كامل للنظام (قد يكون بطيئًا)
sudo clamscan -r / --exclude-dir="^/sys" --exclude-dir="^/proc" --exclude-dir="^/dev"

# إظهار الملفات المصابة فقط
sudo clamscan -r /var/www --infected

# نقل الملفات المصابة إلى الحجر الصحي
sudo clamscan -r /home --infected --move=/quarantine

# حفظ نتائج الفحص في ملف
sudo clamscan -r / --log=/var/log/clamav-scan.log --exclude-dir="^/sys" --exclude-dir="^/proc"

# إنشاء ملف cron
sudo nano /etc/cron.d/security-scan

# /etc/cron.d/security-scan

# فحص rkhunter كل ليلة الساعة 02:00
0 2 * * * root /usr/bin/rkhunter --check --skip-keypress --report-warnings-only 2>&1 | mail -s "[rkhunter] $(hostname) تقرير يومي" admin@example.com

# فحص ClamAV الكامل كل أحد الساعة 03:00
0 3 * * 0 root /usr/bin/clamscan -r / --exclude-dir="^/sys" --exclude-dir="^/proc" --exclude-dir="^/dev" --infected --log=/var/log/clamav-weekly.log

# تحديث قاعدة بيانات ClamAV يوميًا
0 1 * * * root /usr/bin/freshclam --quiet

# فحص اتصالات الشبكة
sudo ss -tlnp

# إيجاد الاتصالات المشبوهة
sudo ss -anp | grep ESTABLISHED

# تقييد الوصول للشبكة عند الحاجة
sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow ssh  # الحفاظ على وصول SSH

# حفظ العمليات الجارية
ps aux > /tmp/processes_$(date +%Y%m%d).txt

# إيجاد الملفات المعدّلة مؤخرًا
find / -mtime -1 -type f 2>/dev/null | grep -v proc | grep -v sys

# نقل الملفات المشبوهة إلى الحجر الصحي
mkdir -p /quarantine
mv /path/to/suspicious/file /quarantine/

# التحقق من ملفات النظام
sudo debsums -c  # Debian/Ubuntu
sudo rpm -Va     # CentOS/RHEL