Сканирование на вредоносное ПО и руткиты: rkhunter и ClamAV

# Ubuntu/Debian
sudo apt update
sudo apt install rkhunter -y

# CentOS/AlmaLinux/Rocky Linux
sudo dnf install rkhunter -y
# или из репозитория EPEL:
sudo dnf install epel-release -y
sudo dnf install rkhunter -y

# Обновить базу данных сигнатур
sudo rkhunter --update

# Записать начальные хэш-значения системных файлов
# Выполните это на чистой системе!
sudo rkhunter --propupd

# Полное сканирование системы
sudo rkhunter --check

# Неинтерактивный режим (для cron)
sudo rkhunter --check --skip-keypress

# Показывать только предупреждения
sudo rkhunter --check --rwo

# Подробный вывод
sudo rkhunter --check --verbose-logging

# Просмотр файла журнала
sudo cat /var/log/rkhunter.log

sudo nano /etc/rkhunter.conf

# /etc/rkhunter.conf важные настройки

# Уведомление по электронной почте
MAIL-ON-WARNING=admin@example.com
MAIL_CMD=mail -s "[rkhunter] Предупреждение - $(hostname)"

# Ежедневное обновление
AUTO_X_DETECT=1
UPDATE_MIRRORS=1
MIRRORS_MODE=0

# Белый список - известные безопасные файлы
SCRIPTWHITELIST=/usr/bin/egrep
SCRIPTWHITELIST=/usr/bin/fgrep
SCRIPTWHITELIST=/usr/bin/which

# Проверка скрытых директорий
ALLOW_HIDDEN_SYS_FILELIST=0

# Проверка SSH root-входа
ALLOW_SSH_ROOT_USER=no
ALLOW_SSH_PROT_V1=0

# Фильтровать только предупреждения
sudo grep -i warning /var/log/rkhunter.log

# Просмотр сводного отчёта
sudo tail -50 /var/log/rkhunter.log

# Ubuntu/Debian
sudo apt update
sudo apt install clamav clamav-daemon -y

# CentOS/AlmaLinux
sudo dnf install clamav clamd clamav-update -y

# Остановить службу ClamAV (для обновления)
sudo systemctl stop clamav-freshclam

# Обновить базу данных вручную
sudo freshclam

# Перезапустить службу
sudo systemctl start clamav-freshclam
sudo systemctl enable clamav-freshclam

# Сканирование одной директории
sudo clamscan -r /home

# Полное сканирование системы (может быть медленным)
sudo clamscan -r / --exclude-dir="^/sys" --exclude-dir="^/proc" --exclude-dir="^/dev"

# Показывать только заражённые файлы
sudo clamscan -r /var/www --infected

# Переместить заражённые файлы в карантин
sudo clamscan -r /home --infected --move=/quarantine

# Сохранить результаты сканирования в файл
sudo clamscan -r / --log=/var/log/clamav-scan.log --exclude-dir="^/sys" --exclude-dir="^/proc"

# Создать файл cron
sudo nano /etc/cron.d/security-scan

# /etc/cron.d/security-scan

# Сканирование rkhunter каждую ночь в 02:00
0 2 * * * root /usr/bin/rkhunter --check --skip-keypress --report-warnings-only 2>&1 | mail -s "[rkhunter] $(hostname) Ежедневный отчёт" admin@example.com

# Полное сканирование ClamAV каждое воскресенье в 03:00
0 3 * * 0 root /usr/bin/clamscan -r / --exclude-dir="^/sys" --exclude-dir="^/proc" --exclude-dir="^/dev" --infected --log=/var/log/clamav-weekly.log

# Ежедневное обновление базы данных ClamAV
0 1 * * * root /usr/bin/freshclam --quiet

# Проверить сетевые соединения
sudo ss -tlnp

# Найти подозрительные соединения
sudo ss -anp | grep ESTABLISHED

# При необходимости ограничить сетевой доступ
sudo ufw default deny incoming
sudo ufw default deny outgoing
sudo ufw allow ssh  # Сохранить SSH-доступ

# Сохранить запущенные процессы
ps aux > /tmp/processes_$(date +%Y%m%d).txt

# Найти недавно изменённые файлы
find / -mtime -1 -type f 2>/dev/null | grep -v proc | grep -v sys

# Поместить подозрительные файлы в карантин
mkdir -p /quarantine
mv /path/to/suspicious/file /quarantine/

# Проверить системные файлы
sudo debsums -c  # Debian/Ubuntu
sudo rpm -Va     # CentOS/RHEL