chkrootkit

Définition

chkrootkit est un outil open source de détection de rootkits sous Linux/Unix, développé par Nelson Murilo et Klaus Steding-Jessen. Il opère différemment de rkhunter : au lieu de vérifier les hashes des binaires, chkrootkit recherche des patterns caractéristiques dans les binaires et le comportement du système pour identifier les rootkits connus. chkrootkit analyse plusieurs aspects du système. Il vérifie les binaires communs (ls, ps, netstat, find, etc.) en recherchant des chaînes de caractères spécifiques aux rootkits connus dans leur code. Il teste si ps cache des processus en comparant ses résultats avec ceux obtenus directement via /proc. Il détecte les interfaces réseau en mode promiscuous révélant des sniffers. Il recherche des fichiers cachés dans les répertoires temporaires et les répertoires système. Les checks spécifiques de chkrootkit couvrent des rootkits bien connus : LKM, SucKIT, t0rn, Adore, ramen, Balaur, Ducoci, Lion, Slapper, Kork, MRK, Boxpoison, Adore-NG, et des dizaines d'autres. Chaque check est implémenté comme un script spécialisé ou une vérification binaire. Un problème connu de chkrootkit est son test 'bindshell' qui peut générer un faux positif sur certaines distributions Linux (notamment Gentoo) en interprétant des processus légitimes comme des backdoors bindshell. Les utilisateurs doivent valider manuellement les alertes 'bindshell' avant de conclure à une compromission. Pour une utilisation forensique, l'idéal est d'exécuter chkrootkit depuis un environnement de confiance (CD/USB Live forensic) en montant le système suspect en lecture seule, ou d'analyser une image forensique montée. Sur un système potentiellement compromis, les binaires système utilisés par chkrootkit peuvent eux-mêmes être trojanisés.