RCLocals

Sysinternalsの'Autoruns'に触発されたRCLocalsは、Linuxのすべての起動可能性を分析してバックドアを発見し、プロセス整合性検証、DLLインジェクションされたプロセスのスキャンなども実行します。

カバー範囲:

・システムが信頼するGPG鍵の一覧 ・インストール済みパッケージ ・ファイル整合性 ・プロセス整合性 (どのインストール済みパッケージにも属さないプロセスやプロセスにロードされたライブラリ) ・名前が偽装されたプロセス (prctl()を使って/bin/psでの名前を変更するプロセス) ・CRONエントリ ・RCファイル ・Xシステム起動ファイル ・アクティブなSystemdユニット ・Systemdタイマーユニット ・tmpfiles.d ・lingerユーザー ・不正な名前空間 ・バイナリとライブラリのハッシュ化 + CYMRUマルウェアハッシュレジストリでの検索: https://team-cymru.com/community-services/mhr/

必要条件

Debian/Ubuntu および派生版: debsumsのインストール # apt-get install debsums

すべてのプラットフォーム: 標準外のPythonモジュール (colorama と DNS) に注意すること

使用方法

基本スキャン（疑わしい発見のみ）

python3 rclocals.py --triage

完全詳細スキャン（すべての情報）

python3 rclocals.py --all

特定のテストを実行（個別モジュール）:

python3 rclocals.py --test <test_name>

利用可能な個別テスト:

TestGPG - GPG鍵と署名を確認

TestPackages - インストール済みパッケージの整合性を検証

TestFileInt - ファイルとプロセスの整合性を確認

TestSpoofed - 偽装された名前のプロセスを検出

TestCron - cronエントリとジョブを分析

TestRC - システムおよびユーザーのRCファイルを確認

TestX - Xシステム起動ファイルを調査

TestSystemd - systemdユニットとタイマーを検査

TestTMP - tmpfiles.dの設定を確認

TestHash - 重要なバイナリをハッシュ化して検証

TestMount - プライベートマウントを持つプロセスを検出

例:

python3 rclocals.py --test TestCron

python3 rclocals.py --test TestHash

スクリーンショット