Tyton

Dieses Projekt ist nun archiviert

Linux-Kernel-Mode-Rootkit-Jäger für 4.4.0-31+.

Weitere Informationen finden Sie auf Tyton's Website.

Erkannte Angriffe

Versteckte Module

Syscall-Tabellen-Hooking

Netzwerkprotokoll-Hooking

Netfilter-Hooking

Gelöschte Prozess-Inodes

Prozess-Fops-Hooking

Interrupt-Deskriptor-Tabellen-Hooking

 

Zusätzliche Funktionen

Benachrichtigungen: Benutzer (mich eingeschlossen) überwachen ihre journald-Protokolle nicht aktiv, daher wurde ein Benutzerland-Benachrichtigungsdienst integriert, der journald-Protokolle überwacht und dem Benutzer mit libnotify anzeigt. Benachrichtigungen werden nach der Installation per XDG-Autorun aktiviert. Falls Ihr DM kein /etc/xdg/autostart besitzt, schlägt die Aktivierung fehl.

DKMS: Dynamic Kernel Module Support wurde für Arch und Fedora/CentOS hinzugefügt (in naher Zukunft soll erweitert werden). DKMS ermöglicht das (nahezu) nahtlose Aktualisieren von Kernel-Modulen während Kernel-Upgrades. Dies ist besonders wichtig für Distributionen, die fortlaufende Veröffentlichungen anbieten oder ihren Kernel häufig aktualisieren.

Installation

Abhängigkeiten

• Linux-Kernel 4.4.0-31 oder neuer
• Entsprechende Linux-Kernel-Header
• GCC
• Make
• Libnotify
• Libsystemd
• Package Config
• GTK3

Aus dem Quellcode

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Hinweis: Für Ubuntu 14.04 heißt libsystemd-dev libsystemd-journal-dev.

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Hinweis: Es wird empfohlen, Tyton über das AUR zu installieren, um von DKMS zu profitieren.

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Kernel-Modul-Argumente

Das Kernel-Modul kann beim Einfügen über die Befehlszeile ein bestimmtes Timeout-Argument erhalten. Führen Sie dazu den Befehl sudo insmod tyton.ko timeout=X aus, wobei X die Anzahl der Minuten ist, die das Kernel-Modul warten soll, bevor es seinen Scan erneut ausführt.

AUR

Tyton ist im AUR hier verfügbar. Sie können es mit dem AUR-Helfer Ihrer Wahl installieren:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git