RCLocals

Sysinternals के 'Autoruns' से प्रेरित, RCLocals बैकडोर खोजने के लिए सभी Linux स्टार्टअप संभावनाओं का विश्लेषण करता है, प्रक्रिया अखंडता सत्यापन, DLL इंजेक्टेड प्रक्रियाओं के लिए स्कैन और बहुत कुछ करता है

शामिल चीजें:

·सिस्टम द्वारा विश्वसनीय GPG कुंजियों की सूची बनाएं

·स्थापित पैकेज

·फ़ाइल अखंडता

·प्रक्रिया अखंडता (प्रक्रिया और प्रक्रिया में लोड की गई लाइब्रेरीज़ जो किसी स्थापित पैकेज से संबंधित नहीं हैं)

·नाम स्पूफ़ की गई प्रक्रियाएं (प्रक्रियाएं जो /bin/ps में अपना नाम बदलने के लिए prctl() का उपयोग करती हैं)

·CRON प्रविष्टियां

·RC फ़ाइलें

·X सिस्टम स्टार्टअप फ़ाइलें

·सक्रिय Systemd यूनिट्स

·Systemd टाइमर यूनिट्स

·tmpfiles.d

·linger उपयोगकर्ता

·दुष्ट नेमस्पेस

·बाइनरी और लाइब्रेरी का हैशिंग + CYMRU मैलवेयर हैश रजिस्ट्री में खोज https://team-cymru.com/community-services/mhr/

आवश्यकताएं

Debian/Ubuntu और व्युत्पन्न: debsums इंस्टॉल करें # apt-get install debsums

सभी प्लेटफ़ॉर्म: गैर-डिफ़ॉल्ट Python मॉड्यूल (colorama और DNS) पर ध्यान दें

उपयोग

मूल स्कैन (केवल संदिग्ध परिणाम)

python3 rclocals.py --triage

पूर्ण विस्तृत स्कैन (सभी जानकारी)

python3 rclocals.py --all

विशिष्ट परीक्षण चलाएं (व्यक्तिगत मॉड्यूल):

python3 rclocals.py --test <test_name>

उपलब्ध व्यक्तिगत परीक्षण:

TestGPG - GPG कुंजियां और हस्ताक्षर जांचें

TestPackages - स्थापित पैकेजों की अखंडता सत्यापित करें

TestFileInt - फ़ाइल और प्रक्रिया अखंडता जांचें

TestSpoofed - स्पूफ़ किए गए नामों वाली प्रक्रियाएं पता लगाएं

TestCron - cron प्रविष्टियों और कार्यों का विश्लेषण करें

TestRC - सिस्टम और उपयोगकर्ता RC फ़ाइलें जांचें

TestX - X सिस्टम स्टार्टअप फ़ाइलों की जांच करें

TestSystemd - systemd यूनिट्स और टाइमर का निरीक्षण करें

TestTMP - tmpfiles.d कॉन्फ़िगरेशन जांचें

TestHash - महत्वपूर्ण बाइनरी को हैश करें और सत्यापित करें

TestMount - निजी माउंट वाली प्रक्रियाएं पता लगाएं

उदाहरण:

python3 rclocals.py --test TestCron

python3 rclocals.py --test TestHash

स्क्रीनशॉट