Búsqueda de sitios web

Cómo instalar y utilizar Linux Malware Detect (LMD) con ClamAV como motor antivirus


Malware, o software malicioso, es la designación que se le da a cualquier programa que tiene como objetivo alterar el funcionamiento normal de un sistema informático. Aunque las formas más conocidas de malware son los virus, el spyware y el adware, el daño que pretenden causar puede variar desde robar información privada hasta eliminar datos personales y todo lo demás, mientras que otro uso clásico del malware es controlar la sistema para usarlo para lanzar botnets en un ataque (D)DoS.

En otras palabras, no puede darse el lujo de pensar: "No necesito proteger mi(s) sistema(s) contra el malware ya que no almaceno ningún dato sensible o importante", porque esos no son los únicos objetivos del malware.

Por esa razón, en este artículo explicaremos cómo instalar y configurar Linux Malware Detect (también conocido como MalDet o LMD para abreviar) junto con ClamAV (motor antivirus) en RHEL 8/7/6 (donde x es el número de versión), CentOS 8/7/6 y Fedora 30-32 (las mismas instrucciones también funcionan en Ubuntu ) y sistemas Debian).

Un escáner de malware lanzado bajo licencia GPL v2, especialmente diseñado para entornos de hosting. Sin embargo, rápidamente se dará cuenta de que se beneficiará de MalDet sin importar en qué tipo de entorno esté trabajando.

Instalación de LMD en RHEL/CentOS y Fedora

LMD no está disponible en repositorios en línea, pero se distribuye como un archivo tar desde el sitio web del proyecto. El tarball que contiene el código fuente de la última versión siempre está disponible en el siguiente enlace, donde se puede descargar con el comando wget:

wget http://www.rfxn.com/downloads/maldetect-current.tar.gz

Luego debemos descomprimir el archivo tar e ingresar al directorio donde se extrajo su contenido. Dado que la versión actual es 1.6.4, el directorio es maldetect-1.6.4. Allí encontraremos el script de instalación, install.sh.

tar -xvf maldetect-current.tar.gz
ls -l | grep maldetect
cd maldetect-1.6.4/
ls

Si inspeccionamos el script de instalación, que solo tiene 75 líneas (incluidos los comentarios), veremos que no solo instala la herramienta sino que también realiza una verificación previa para ver si el directorio de instalación predeterminado ( /usr/local/maldetect) existe. De lo contrario, el script crea el directorio de instalación antes de continuar.

Finalmente, una vez completada la instalación, se programa una ejecución diaria a través de cron colocando el script cron.daily (consulte la imagen de arriba) en /etc/ cron.diario. Este script auxiliar, entre otras cosas, borrará datos temporales antiguos, buscará nuevas versiones de LMD y escaneará los directorios de datos predeterminados de Apache y de los paneles de control web (es decir, CPanel, DirectAdmin, por nombrar algunos).

Dicho esto, ejecuta el script de instalación como de costumbre:

./install.sh

Configuración de la detección de malware de Linux

La configuración de LMD se maneja a través de /usr/local/maldetect/conf.maldet y todas las opciones están bien comentadas para que la configuración sea una tarea bastante sencilla. En caso de que te quedes atascado, también puedes consultar /maldetect-1.6.4/README para obtener más instrucciones.

En el archivo de configuración encontrará las siguientes secciones, entre corchetes:

  1. ALERTAS DE CORREO ELECTRÓNICO
  2. OPCIONES DE CUARENTENA
  3. OPCIONES DE ESCANEO
  4. ANÁLISIS ESTADÍSTICO
  5. OPCIONES DE MONITOREO

Cada una de estas secciones contiene varias variables que indican cómo se comportará LMD y qué funciones están disponibles.

  1. Configure email_alert=1 si desea recibir notificaciones por correo electrónico sobre los resultados de la inspección de malware. En aras de la brevedad, solo transmitiremos correo a los usuarios del sistema local, pero también puede explorar otras opciones, como enviar alertas por correo al exterior.
  2. Establezca email_subj=”Su asunto aquí” y email_addr=username@localhost si previamente ha configurado email_alert=1.
  3. Con quar_hits, la acción de cuarentena predeterminada para visitas de malware (0=solo alerta, 1=pasar a cuarentena y alerta), le indicará a LMD qué hacer cuando se detecte malware.
  4. quar_clean le permitirá decidir si desea limpiar las inyecciones de malware basadas en cadenas. Tenga en cuenta que una firma de cadena es, por definición, "una secuencia de bytes contiguos que potencialmente puede coincidir con muchas variantes de una familia de malware".
  5. quar_susp, la acción de suspensión predeterminada para usuarios con visitas, le permitirá deshabilitar una cuenta cuyos archivos de propiedad hayan sido identificados como visitas.
  6. clamav_scan=1 le indicará a LMD que intente detectar la presencia del binario ClamAV y lo utilice como motor de escaneo predeterminado. Esto produce un rendimiento de escaneo hasta cuatro veces más rápido y un análisis hexadecimal superior. Esta opción solo utiliza ClamAV como motor de escaneo y las firmas LMD siguen siendo la base para detectar amenazas.

Resumiendo, las líneas con estas variables deberían tener el siguiente aspecto en /usr/local/maldetect/conf.maldet:

email_alert=1
email_addr=gacanepa@localhost
email_subj="Malware alerts for $HOSTNAME - $(date +%Y-%m-%d)"
quar_hits=1
quar_clean=1
quar_susp=1
clam_av=1

Instalación de ClamAV en RHEL/CentOS y Fedora

Para instalar ClamAV y aprovechar la configuración clamav_scan, siga estos pasos:

Habilite el repositorio EPEL.

yum install epel-release

Entonces hazlo:


yum update && yum install clamd
apt update && apt-get install clamav clamav-daemon  [Ubuntu/Debian]

Nota: Que estas son solo las instrucciones básicas para instalar ClamAV para poder integrarlo con LMD. No entraremos en detalles en cuanto a la configuración de ClamAV ya que como dijimos anteriormente, las firmas LMD siguen siendo la base para detectar y limpiar amenazas.

Prueba de detección de malware en Linux

Ahora es el momento de probar nuestra reciente instalación de LMD/ClamAV. En lugar de utilizar malware real, utilizaremos los archivos de prueba de EICAR, que están disponibles para descargar desde el sitio web de EICAR.

cd /var/www/html
wget http://www.eicar.org/download/eicar.com 
wget http://www.eicar.org/download/eicar.com.txt 
wget http://www.eicar.org/download/eicar_com.zip 
wget http://www.eicar.org/download/eicarcom2.zip 

En este punto, puede esperar a que se ejecute el siguiente trabajo cron o ejecutar maldet manualmente. Iremos con la segunda opción:

maldet --scan-all /var/www/

LMD también acepta comodines, por lo que si desea escanear solo un determinado tipo de archivo (es decir, archivos zip, por ejemplo), puede hacerlo:

maldet --scan-all /var/www/*.zip

Cuando se complete el escaneo, puede verificar el correo electrónico enviado por LMD o ver el informe con:

maldet --report 021015-1051.3559

Donde 021015-1051.3559 es el SCANID (el SCANID será ligeramente diferente en su caso).

Importante: Tenga en cuenta que LMD encontró 5 resultados desde que el archivo eicar.com se descargó dos veces (lo que resultó en eicar.com y eicar.com.1).

Si revisas la carpeta de cuarentena (solo dejé uno de los archivos y eliminé el resto), veremos lo siguiente:

ls -l

Luego puede eliminar todos los archivos en cuarentena con:

rm -rf /usr/local/maldetect/quarantine/*

En caso de que,

maldet --clean SCANID

Por alguna razón no hace el trabajo. Puede consultar el siguiente screencast para obtener una explicación paso a paso del proceso anterior:

Consideraciones finales

Dado que maldet debe integrarse con cron, debe configurar las siguientes variables en el crontab de root (escriba crontab -e como root y presione el botón Tecla Intro) en caso de que notes que LMD no se ejecuta correctamente a diario:

PATH=/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=root
HOME=/
SHELL=/bin/bash

Esto ayudará a proporcionar la información de depuración necesaria.

Conclusión

En este artículo, hemos analizado cómo instalar y configurar Linux Malware Detect, junto con ClamAV, un poderoso aliado. Con la ayuda de estas 2 herramientas, detectar malware debería ser una tarea bastante sencilla.

Sin embargo, hágase un favor y familiarícese con el archivo README como se explicó anteriormente y podrá estar seguro de que su sistema está bien contabilizado y administrado.

No dude en dejar sus comentarios o preguntas, si las hubiera, utilizando el siguiente formulario.

Enlaces de referencia

Página de inicio de LMD