Tyton

Este Proyecto Está Ahora Archivado

Cazador de Rootkits en Modo Kernel de Linux para 4.4.0-31+.

Para más información, visita el sitio web de Tyton.

Ataques Detectados

Módulos Ocultos

Enganche de la Tabla de Syscalls

Enganche de Protocolo de Red

Enganche de Netfilter

Inodos de Proceso en Cero

Enganche de Fops de Proceso

Enganche de la Tabla de Descriptores de Interrupción

 

Características Adicionales

Notificaciones: Los usuarios (incluyéndome a mí) no monitorean activamente sus registros de journald, por lo que se ha incluido un daemon de notificación en espacio de usuario para monitorear los registros de journald y mostrarlos al usuario usando libnotify. Las notificaciones se habilitan después de la instalación mediante la ejecución automática de XDG, por lo que si tu DM no tiene /etc/xdg/autostart fallará.

DKMS: Se ha añadido soporte de Módulos de Kernel Dinámicos (DKMS) para Arch y Fedora/CentOS (con planes de expandir en un futuro próximo). DKMS permite la actualización (casi) sin problemas de los módulos del kernel durante las actualizaciones del kernel. Esto es principalmente importante para distribuciones que proporcionan lanzamientos continuos o actualizan su kernel con frecuencia.

Instalación

Dependencias

• Kernel de Linux 4.4.0-31 o superior
• Encabezados del Kernel de Linux correspondientes
• GCC
• Make
• Libnotify
• Libsystemd
• Configuración de Paquetes (pkg-config)
• GTK3

Desde el Código Fuente

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: Para Ubuntu 14.04, libsystemd-dev se llama libsystemd-journal-dev.

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: Se recomienda instalar Tyton a través del AUR para que puedas beneficiarte de DKMS.

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Argumentos del Módulo del Kernel

El módulo del kernel puede recibir un argumento de tiempo de espera específico en la inserción a través de la línea de comandos.

Para hacer esto, ejecuta el comando sudo insmod tyton.ko timeout=X donde X es el número de minutos que deseas que el módulo del kernel espere antes de ejecutar nuevamente su escaneo.

AUR

Tyton está disponible en el AUR aquí.

Puedes instalarlo usando el ayudante de AUR que prefieras:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git