rkhunter

Définition

rkhunter (Rootkit Hunter) est un outil open source de détection de rootkits, backdoors, et exploits locaux sur les systèmes Unix/Linux. Développé par Michael Boelen, il est l'un des outils de sécurité Linux les plus répandus et est inclus dans les dépôts de la plupart des distributions Linux. rkhunter fonctionne selon plusieurs approches complémentaires. La vérification des hashes MD5/SHA-256 des binaires système compare les empreintes des exécutables critiques (/bin/ps, /bin/ls, /usr/bin/netstat, etc.) avec des valeurs de référence stockées dans une base de données. Une discordance révèle qu'un binaire a été modifié, potentiellement remplacé par une version trojanisée. La base de données doit être mise à jour régulièrement avec 'rkhunter --update' et les empreintes de référence recalculées après chaque mise à jour légitime du système avec 'rkhunter --propupd'. Les vérifications de propriétés de fichiers examinent les permissions, les bits SUID/SGID, et les propriétaires de fichiers sensibles pour détecter des configurations anormales permettant l'escalade de privilèges. La recherche de rootkits connus compare les fichiers et répertoires présents sur le système avec les signatures connues de rootkits (SucKIT, Adore, NetBus, etc.). La vérification des interfaces réseau en mode promiscuous (capturant tout le trafic réseau) peut révéler des sniffers installés. La vérification des ports d'écoute identifie les services inconnus écoutant sur des ports non standard. Les limitations de rkhunter doivent être comprises. Il peut produire des faux positifs (surtout après des mises à jour système sans mise à jour de la base), et il ne détecte pas les rootkits noyau avancés qui masquent leur présence au niveau syscall. Pour une détection robuste, combiner rkhunter avec chkrootkit, AIDE (vérification d'intégrité des fichiers système), et des outils d'analyse mémoire comme Volatility.