Как проверить, заражён ли ваш сервер бэкдором Linux/Rst-B (Debian Etch)

Версия 1.0
Автор: Falko Timme

Linux Rst-B — это бэкдор, который может добавить сервер в ботнет. Эта инструкция объясняет, как установить и использовать средство обнаружения Sophos Linux/RST-B для проверки сервера Debian Etch на наличие этой инфекции. Я не даю гарантий, что метод сработает в каждой ситуации.

Важно: выполняйте эти действия от имени пользователя с правами root или через sudo. Неправильные действия с файлами системы могут повредить сервер.

1 Загрузка и установка инструмента Sophos Linux/RST-B

Ниже показано, как установить инструмент обнаружения в каталог /usr/local/sbin, чтобы он оказался в PATH.

Откройте терминал и выполните:

cd /usr/local/sbin  
wget http://www.sophos.com/support/cleaners/detection_tool.tar.gz  
tar xvfz detection_tool.tar.gz

После этого содержимое архива окажется в каталоге /usr/local/sbin/detection_tool.

Инструмент можно установить двумя способами: использовать предкомпилированный бинарный файл или собрать его из исходников. Описаны оба варианта.

1.1 Использовать предкомпилированный бинарный файл

Чтобы использовать предкомпилированный бинарь, можно создать символьную ссылку rst_detection_tool в /usr/local/sbin на файл detection_tool/pre-compiled/detection_tool:

cd /usr/local/sbin  
ln -s detection_tool/pre-compiled/detection_tool rst_detection_tool

Либо переместить файл в /usr/local/sbin и переименовать его:

cd /usr/local/sbin  
mv detection_tool/pre-compiled/detection_tool rst_detection_tool

Выбор зависит от того, хотите ли вы иметь один исполняемый файл в PATH или ссылку на версию внутри папки detection_tool.

1.2 Сборка инструмента из исходников

Если вы предпочитаете собрать инструмент самостоятельно, сначала установите пакет сборки:

apt-get install build-essential

Затем соберите программу:

cd /usr/local/sbin/detection_tool  
make

В результате появится исполняемый файл /usr/local/sbin/detection_tool/detection_tool. Чтобы иметь удобный доступ, можно создать ссылку или переместить бинарь в /usr/local/sbin под именем rst_detection_tool:

cd /usr/local/sbin  
ln -s detection_tool/detection_tool rst_detection_tool

или

cd /usr/local/sbin  
mv detection_tool/detection_tool rst_detection_tool

Преимущества сборки из исходников: вы получаете бинарь, собранный для вашей архитектуры и окружения. Недостаток: требуется набор инструментов сборки и больше шагов.

2 Использование средства обнаружения Linux/RST-B

Запуск утилиты из любого каталога:

rst_detection_tool [-v] 

Если вы находитесь внутри /usr/local/sbin и использовали относительную ссылку, нужно запускать с ./:

./rst_detection_tool [-v] 

Пример сканирования всей файловой системы:

rst_detection_tool /

или

./rst_detection_tool /

если вы находитесь в /usr/local/sbin.

На чистой системе вывод будет похож на следующий:

server2:/usr/local/sbin# ./rst_detection_tool /  
Sophos Rst-B Detection Tool  
---------------------------  
Copyright (c) 2008 Sophos Plc. All rights reserved.

Scanned 43134 files, found 0 infections of Linux/Rst-B.  
End of scan.  
server2:/usr/local/sbin#

3 Что делать при обнаружении инфекции

Если инструмент сообщает об обнаружении Linux/Rst-B, выполните следующие шаги в порядке приоритетности:

1. Немедленно изолируйте сервер от сети (отключите интерфейсы, остановите внешние сервисы).
2. Снимите копию дисков (форензика): сделайте bit-for-bit образ для последующего анализа.
3. Сохраните логи и вывод средства обнаружения.
4. Оцените точки входа: какие сервисы и версии на сервере доступны извне.
5. Планируйте восстановление: предпочтительнее переустановить систему и восстановить из проверенных резервных копий.

Примечание: удалять бэкдор «на месте» рискованно — атакующий мог оставить несколько механизмов доступа. Полная переустановка с проверкой конфигураций и учётных данных — более надёжный подход.

4 Когда проверка может не сработать

• Заражение скрыто нестандартными методами и не распознаётся сигнатурами Sophos.
• Бинарь бэкдора модифицирован так, что детектор не распознаёт его.
• Инфекция находится только в памяти и не присутствует в файлах на диске.

Если есть сомнения, используйте несколько инструментов и методы анализа памяти.

5 Альтернативные подходы и инструменты

• Используйте антивирусные сканеры от других поставщиков для Linux (ClamAV, ESET, Kaspersky) как дополнительную проверку.
• Проведите анализ памяти (volatility) для поиска вживлённых модулей.
• Проверьте сетевые соединения (netstat, ss) и планировщики (cron, systemd timers).

Каждый инструмент даёт разные сигнатуры и эвристику — комбинируйте их для повышения уверенности.

6 Чеклист для системного администратора

• Отключить сервер от сети.
• Создать образ диска для форензики.
• Сохранить и заархивировать логи.
• Запустить rst_detection_tool и другие сканеры.
• Проверить пользовательские учётные записи и sudoers.
• Проверить запланированные задачи и все init-скрипты.
• Переустановить ОС и восстановить данные из проверенных бэкапов.

7 План реагирования и отката

1. Идентификация: подтверждение наличия бэкдора.
2. Изоляция: блокировка доступа и уведомление команды.
3. Сбор доказательств: образы, дампы памяти, логи.
4. Анализ и оценка заражения.
5. Восстановление: переустановка, изменение ключей, восстановление из резервной копии.
6. Мониторинг: усиленный мониторинг после восстановления.

8 Критерии приёмки

• Инструмент запускается без ошибок.
• Сканирование завершилось и результат сохранён.
• При обнаружении — приняты меры по изоляции и создан образ диска.
• После восстановления нет признаков повторного входа в систему.

9 Глоссарий

• Бэкдор: скрытый механизм доступа накомпьютер.
• Форензика: процесс сбора и анализа цифровых доказательств.
• Образ диска: побитовый снимок хранилища для анализа.

10 Ссылки

• Sophos Linux/RST-B Detection Tool: http://www.sophos.com/rst-detection-tool
• Debian: http://www.debian.org

Краткое резюме: установка Sophos RST-B detector проста — можно использовать предкомпилированный бинарь или собрать из исходников. Запустите сканирование по корню файловой системы, сохраните результаты и при обнаружении инфекции изолируйте и восстановите сервер из надёжных резервных копий.