Tutoriel ⚔ Empêcher les rootkits et malwares indétectables sous Linux

[Sylvain*]

⚔ Protection contre la Contamination en chaîne et ajouts de rootkits ou autres malwares difficiles à détecter (Linux)

Introduction

Ce tutoriel vous aidera à sécuriser un système Linux contre des menaces complexes comme les rootkits et malwares difficiles à détecter. Nous explorerons des outils et méthodes pour bloquer les connexions suspectes, surveiller les processus et analyser les menaces cachées.

---

Prérequis

• Système Linux basé sur Debian (Ubuntu) ou Red Hat (CentOS)

• Accès administrateur via sudo

• Connaissances des commandes réseau et gestion des processus

• Connexion internet pour installer les outils nécessaires

---

Méthodologie

Introduction

• Nous utiliserons trois approches :

• Méthode 1 : Bloquer les connexions malveillantes avec UFW (Uncomplicated Firewall)

• Méthode 2 : Surveillance et blocage des connexions avec sudo, netstat et iptables

• Méthode 3 : Analyse approfondie et suppression des rootkits avec chkrootkit

---

Avantages

Avantage de la méthode 1 : Facile à configurer, idéale pour les débutants.

Avantage de la méthode 2 : Donne un contrôle avancé des processus et des connexions réseau.

Avantage de la méthode 3 : Détecte des menaces cachées souvent ignorées par d’autres outils.

---

Inconvénients

Inconvénient de la méthode 1 : Nécessite une configuration supplémentaire pour des règles complexes.

Inconvénient de la méthode 2 : Requiert une connaissance approfondie des commandes système.

Inconvénient de la méthode 3 : Les faux positifs dans chkrootkit nécessitent une vérification manuelle.

---

⚙ Étapes à suivre pour la méthode 1

• Assurez-vous que UFW est installé :

sudo apt install ufw

• Activez UFW :

sudo ufw enable

• Bloquez une adresse IP suspecte :

sudo ufw deny from <adresse_IP>

• Vérifiez l’état du pare-feu pour confirmer les règles :

sudo ufw status

Pour de plus amples informations

• Configuration de UFW sur LinuxFR

• Tutoriels UFW sur Ubuntu Forum

---

⚙ Étapes à suivre pour la méthode 2

• Listez les connexions réseau actives avec netstat :

sudo netstat -tulnp

• Identifiez un processus suspect à l’aide de son PID (Process ID).

• Terminez le processus avec la commande :

sudo kill -9 <PID_du_processus>

• Ajoutez une règle dans iptables pour bloquer une adresse IP suspecte :

sudo iptables -A INPUT -s <adresse_IP> -j DROP

• Sauvegardez vos règles pour qu’elles persistent après un redémarrage :

sudo iptables-save > /etc/iptables/rules.v4

Pour de plus amples informations

• Tutoriels sur iptables sur LinuxFR

• Tutoriels iptables sur Ubuntu Forum

---

⚙ Étapes à suivre pour la méthode 3

• Installez chkrootkit :

sudo apt install chkrootkit

• Lancez une analyse avec chkrootkit :

sudo chkrootkit

• Vérifiez les résultats pour repérer des fichiers suspects ou rootkits. Supprimez avec précaution après validation.

Pour de plus amples informations

• Chkrootkit sur LinuxFR

• Chkrootkit sur Ubuntu Forum

---

Astuce

Ajoutez Fail2ban pour automatiser le blocage des IP suspectes après plusieurs échecs de connexion.

• Installation de Fail2ban :

sudo apt install fail2ban

Pour de plus amples informations

• Configurer Fail2ban

---

Mise en garde

Les outils comme chkrootkit peuvent signaler des faux positifs. Vérifiez toujours les alertes avant de supprimer un fichier ou de modifier des règles.

---

Conseil

Gardez votre système à jour avec les dernières versions de sécurité pour éviter des exploits connus.

Pour de plus amples informations

• Mises à jour système Linux sur LinuxFR

• Mises à jour sur Ubuntu Forum

---

Solution alternative

Installez ClamAV, un antivirus open source, pour scanner régulièrement votre système.

• Installez ClamAV avec cette commande :

sudo apt install clamav

Pour de plus amples informations

• Tutoriel ClamAV sur LinuxFR

• Tutoriels ClamAV sur Ubuntu Forum

---

Conclusion

En suivant ces étapes, vous renforcez la sécurité de votre système Linux contre les rootkits et autres malwares avancés.