Tyton

Este Projeto Agora Está Arquivado

Caçador de Rootkits em Modo Kernel Linux para 4.4.0-31+.

Para mais informações, visite o site do Tyton.

Ataques Detectados

Módulos Ocultos

Hooking da Tabela de Syscalls

Hooking de Protocolo de Rede

Hooking de Netfilter

Inodes de Processo Zerados

Hooking de Fops de Processo

Hooking da Tabela de Descritores de Interrupção

 

Recursos Adicionais

Notificações: Usuários (incluindo eu) não monitoram ativamente seus logs do journald, então um daemon de notificação no espaço do usuário foi incluído para monitorar os logs do journald e exibi-los ao usuário usando libnotify. As notificações são ativadas após a instalação pelo autorun XDG, portanto, se seu gerenciador de exibição não tiver /etc/xdg/autostart, isso falhará.

DKMS: O Suporte a Módulos de Kernel Dinâmicos (DKMS) foi adicionado para Arch e Fedora/CentOS (buscando expandir no futuro próximo). O DKMS permite a atualização (quase) contínua de módulos do kernel durante atualizações do kernel. Isso é principalmente importante para distribuições que fornecem lançamentos contínuos ou atualizam seu kernel com frequência.

Instalação

Dependências

• Kernel Linux 4.4.0-31 ou superior
• Cabeçalhos correspondentes do Kernel Linux
• GCC
• Make
• Libnotify
• Libsystemd
• Package Config
• GTK3

A partir do Código Fonte

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: Para Ubuntu 14.04, libsystemd-dev é chamado libsystemd-journal-dev.

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: É recomendado instalar o Tyton através do AUR para se beneficiar do DKMS.

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Argumentos do Módulo do Kernel

O módulo do kernel pode receber um argumento de tempo limite específico na inserção através da linha de comando.

Para fazer isso, execute o comando sudo insmod tyton.ko timeout=X onde X é o número de minutos que você deseja que o módulo do kernel espere antes de executar sua varredura novamente.

AUR

Tyton está disponível no AUR aqui.

Você pode instalá-lo usando o ajudante AUR de sua escolha:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git