Tyton

Этот проект заархивирован

Охотник на руткиты на уровне ядра Linux для версий 4.4.0-31+.

Для получения дополнительной информации посетите веб-сайт Tyton.

Обнаруживаемые атаки

Скрытые модули

Перехват таблицы системных вызовов

Перехват сетевых протоколов

Перехват Netfilter

Обнулённые inodes процессов

Перехват Fops процессов

Перехват таблицы дескрипторов прерываний

 

Дополнительные возможности

Уведомления: Пользователи (включая меня) не следят активно за журналами journald, поэтому был включен демон уведомлений пользовательского пространства для мониторинга журналов journald и отображения их пользователю с помощью libnotify. Уведомления включаются после установки через XDG autorun, поэтому если ваш DM не имеет /etc/xdg/autostart, это не сработает.

DKMS: Поддержка динамических модулей ядра (DKMS) была добавлена для Arch и Fedora/CentOS (в ближайшее время планируется расширение). DKMS позволяет (почти) бесшовное обновление модулей ядра во время обновления ядра. Это важно в первую очередь для дистрибутивов, предоставляющих rolling releases или часто обновляющих ядро.

Установка

Зависимости

• Ядро Linux 4.4.0-31 или новее
• Соответствующие заголовочные файлы ядра Linux
• GCC
• Make
• Libnotify
• Libsystemd
• Package Config
• GTK3

Из исходного кода

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Примечание: Для Ubuntu 14.04 пакет libsystemd-dev называется libsystemd-journal-dev.

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Примечание: Рекомендуется установить Tyton через AUR, чтобы воспользоваться преимуществами DKMS.

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Параметры модуля ядра

Модулю ядра можно передать конкретный аргумент таймаута при загрузке через командную строку.

Для этого выполните команду sudo insmod tyton.ko timeout=X, где X — количество минут, которое модуль ядра должен ждать перед повторным выполнением сканирования.

AUR

Tyton доступен в AUR здесь.

Вы можете установить его с помощью любого AUR-помощника:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git