staging.inyokaproject.org

Hallo, ich habe rkhunter installiert, da ich einige dubiose Mails bekommen hatte. Dabei bekomme ich derzeit ein dutzend Warnungen bei "Checking system commands..." aber keine bei "Checking for rootkits...". Daraufhin habe ich das System neu installiert, und auch direkt nach der Installation gecheckt, keine Warning. Dann hab ich ein apt update && apt upgrade ausgeführt, und danach waren die gleichen Warnungen wieder da. Sonst hatte ich nichts gemacht.

Dann habe ich es mit einem zweiten Rechner vergleichen, dort die gleichen Kommandos ausgeführt. Und dort ist alles grün. Gleiche Linuxversion, gleiche rkhunter Version.

Also hab ich ein cksum gemacht auf die rot markierten Dateien. Genau die gleiche Checksumme, gleiche Dateigrösse. Auf dem einen Rechner rot, auf dem anderen grün. Beispiele für die Dateien mit Warnings:

• /usr/sbin/groupadd

• /usr/sbin/groupdel

• /usr/sbin/groupmod

• /usr/bin/w

usw.

Bin vorgegangen wie im Thread https://forum.ubuntuusers.de/topic/umgang-mit-warnungen-unter-rkhunter/ beschrieben:

1
2

rkhunter --check --pkgmgr dpkg
rkhunter --propupd

Es ist wohl möglich, dass ein Rootkit im UEFI ist, und sich von dort wieder einklinkt. Wie kann ich jetzt heraus finden, ob dort ein Rootkit ist, oder ob es sich vielleicht nur um ein false positive handelt ?

Hast Du das Wiki gelesen?

• rkhunter

Auf einem Desktop-System, bei dem nahezu täglich sich irgendwas ändert, ist rkhunter ohnehin schwierig. Man muss dann rkhunter ständig mit den gerade geänderten Daten vertraut machen. Bei so viel Änderungen, die unweigerlich auf einem immer aktuell gehaltenem Desktop System geschehen, wird das dann ein anstrengendes tägliches Hobby, und wahrscheinlich erschrickt man sich häufiger vor seinem eigenen Schatten, anstatt dass rkhunter da tatsächlich "Schutz" bringen könnte.

Ja, das habe ich gelesen. Hier geht es jedoch um ein frisch (Neu) installiertes System. Ich hatte nichts weiter gemacht, als einmal apt upgrade.

Da ein paralleles System bei gleichen Voraussetzungen grün anzeigt, die Frage, ob es ein Rootkit im UEFI sein, bzw. wie ich das feststellen kann.

Also:

/usr/sbin/groupadd
/usr/sbin/groupdel
/usr/sbin/groupmod

Kommen alle aus dem Paket passwd.

dpkg bietet die Möglichkeit die installierten Teile des Pakets zu verifizieren, für passwd geht das dann so:

dpkg -V passwd

Das da kommt aus einem anderen Paket:

/usr/bin/w

Aus welchen Paket das kommt kannst Du so herausfinden:

dpkg -S /usr/bin/w

Wie das dann zu verifizieren ist, sollte mit dem vorangegangen Beispiel schon klar sein.

Vielen Dank.

Das scheint zu passen, es kommmt keine Fehlermeldung.

Bleibt noch die Frage, warum es überhaupt rot angezeigt wird, auf dem Rechner konsistent selbst bei einer Neuinstallation vom System (root / und /home sind auf separaten Partitionen).