---

## 1. Введение

Архитектура LMD, этапы обнаружения и поддерживаемые платформы.

Linux Malware Detect (LMD) — сканер вредоносных программ для Linux, распространяемый под лицензией GNU GPLv2 и разработанный с учётом угроз, характерных для сред общего хостинга. Он использует данные об угрозах из систем обнаружения вторжений на сетевом периметре для выделения вредоносных программ, активно применяемых в атаках, и формирует сигнатуры для их обнаружения. Кроме того, данные об угрозах поступают из пользовательских материалов через функцию проверки LMD (checkout) и из ресурсов сообщества по вредоносному ПО.

LMD ориентирован на те классы вредоносных программ, которые традиционные антивирусные продукты часто пропускают: PHP-шеллы, JavaScript-инжекторы, бэкдоры в base64-кодировке, IRC-боты и другие угрозы уровня веб-приложений, нацеленные на учётные записи пользователей общего хостинга, а не на внутренние компоненты операционной системы.

**Этапы обнаружения**
- Сопоставление MD5-хешей файлов для точной идентификации угроз
- Поиск HEX-шаблонов с помощью встроенного пакетного grep-движка с параллельными рабочими процессами
- Сканирование составными сигнатурами (csig) с многопатерновой булевой логикой (AND/OR/порог), регистронезависимым поиском, широким (UTF-16LE) поиском и подстановочными символами с ограниченным разрывом
- Встроенное сканирование по правилам YARA с полной поддержкой модулей и пользовательскими правилами
- Статистический анализ длины строк для обнаружения обфусцированных угроз (base64, gzinflate)
- Интеграция с ClamAV для расширенного покрытия с сигнатурами ClamAV, поддерживаемыми LMD

**Сканирование и мониторинг**
- Сканирование всех файлов, недавно изменённых файлов или файлов из списка
- Мониторинг файлов в реальном времени через inotify ядра (события создания/изменения/перемещения)
- Сканирование HTTP-загрузок через хук ModSecurity2 `inspectFile`
- Фоновое сканирование для неконтролируемых крупномасштабных операций
- Фильтрация включения/исключения по регулярным выражениям для каждого сканирования

**Карантин и реагирование**
- Очередь карантина с хранением файлов с нулевыми правами доступа
- Пакетный карантин/восстановление по ID сканирования
- Специфичные для сигнатур правила очистки для удаления вредоносных программ
- Полное восстановление файлов (содержимое, владелец, права, mtime)

**Оповещение и отчёты**
- HTML- и текстовые email-оповещения с единым дизайном rfxn (фирменный бирюзовый цвет, карточные записи)
- Поддержка SMTP-релея (TLS/SSL) для сред без локального MTA
- Оповещения по каждой записи через Slack Block Kit, Telegram MarkdownV2, Discord embed
- Настраиваемые шаблоны оповещений через переопределения в `alert/custom.d/`
- Отчёты о сканировании с деталями совпадений по каждому файлу и цветовой кодировкой типов совпадений

**Инфраструктура**
- Автоматическая привязка сигнатур ClamAV для покрытия двумя движками
- Ежедневный cron с автоматическим определением более 12 панелей управления хостингом
- Контроль ресурсов CPU/IO (nice, ionice, cpulimit)
- Автоматическое обновление сигнатур и версий
- Поддержка systemd-юнита и SysV init-скрипта

### Поддерживаемые платформы

LMD работает на любом дистрибутиве Linux с bash и стандартными утилитами GNU. Протестированные платформы:

| Платформа | Система инициализации | Путь к конфигурации пакета |
|----------|-------------|---------------------|
| RHEL / Rocky / AlmaLinux 8, 9, 10 | systemd | `/etc/sysconfig/maldet` |
| CentOS 6, 7 | SysV / systemd | `/etc/sysconfig/maldet` |
| Debian 10, 11, 12 | systemd | `/etc/default/maldet` |
| Ubuntu 20.04, 22.04, 24.04 | systemd | `/etc/default/maldet` |
| Gentoo | OpenRC | — |
| Slackware | SysV | — |
| FreeBSD | — | — (частично; без inotify) |

---

## 2. Установка

Установка, обновление и удаление LMD в системе.

Включённый сценарий `install.sh` выполняет все задачи установки. Предыдущие установки автоматически резервируются.```bash
./install.sh

### 3.1 Общие параметры

| Variable | Purpose | Default |
|----------|---------|---------|
| `autoupdate_signatures` | Автоматически обновлять сигнатуры ежедневно через cron | `1` |
| `autoupdate_version` | Автоматически обновлять версию LMD ежедневно через cron | `1` |
| `autoupdate_version_hashed` | Проверять SHA-256 хеш исполняемого файла LMD на соответствие вышестоящему источнику (откат к MD5) | `1` |
| `sigup_interval` | Часы между автоматическими проверками обновления сигнатур через отдельную cron-задачу (`/etc/cron.d/maldet-sigup`); 0 = отключено | `6` |
| `cron_prune_days` | Дни хранения данных карантина/сеансов/временных файлов | `21` |
| `cron_daily_scan` | Включить ежедневное автоматическое сканирование через cron | `1` |
| `scan_days` | Дни для поиска изменённых файлов при ежедневных сканированиях через cron | `1` |
| `import_config_url` | URL для загрузки удалённого переопределения конфигурации | — |
| `import_config_expire` | Срок действия кэша импортированной конфигурации (секунды) | `43200` |
| `sig_import_md5_url` | URL для загрузки пользовательских MD5-сигнатур | — |
| `sig_import_hex_url` | URL для загрузки пользовательских HEX-сигнатур | — |
| `sig_import_yara_url` | URL для загрузки пользовательских правил YARA | — |
| `sig_import_sha256_url` | URL для загрузки пользовательских SHA-256 сигнатур | — |
| `sig_import_csig_url` | URL для загрузки пользовательских составных сигнатур | — |
| `session_legacy_compat` | Создавать устаревшие plaintext-файлы сеансов наряду с TSV: `auto` (обнаруживать сеансы старого формата), `1` (всегда), `0` (только TSV) | `auto` |

### 3.2 Оповещения

| Variable | Purpose | Default |
|----------|---------|---------|
| `email_alert` | Включить email-оповещения после сканирований | `0` |
| `email_addr` | Адрес получателя оповещений | `[email protected]` |
| `email_subj` | Шаблон темы письма | `maldet alert from $(hostname)` |
| `email_ignore_clean` | Подавлять оповещения, если все обнаружения были обработаны | `1` |
| `email_panel_user_alerts` | Отправлять оповещения пользователям панели при обнаружении угроз | `0` |
| `email_panel_from` | Заголовок From для оповещений пользователей панели | `[email protected]` |
| `email_panel_replyto` | Заголовок Reply-To для оповещений пользователей панели | `[email protected]` |
| `email_panel_alert_subj` | Тема письма для оповещений пользователей панели | `maldet alert from $(hostname)` |
| `email_format` | Формат письма: `text`, `html` или `both` | `html` |
| `smtp_relay` | URL SMTP-ретрансляции (например, `smtps://smtp.gmail.com:465`) | — |
| `smtp_from` | Адрес отправителя для доставки через SMTP-ретрансляцию | — |
| `smtp_user` | Имя пользователя для аутентификации SMTP | — |
| `smtp_pass` | Пароль для аутентификации SMTP | — |
| `slack_alert` | Включить оповещения Slack с загрузкой файлов | `0` |
| `slack_subj` | Имя файла для загрузки в Slack | `maldet alert from $(hostname)` |
| `slack_token` | Токен Slack Bot API (права: `files:write`, `files:read`) | — |
| `slack_channels` | Разделённый запятыми список имён или ID каналов | `maldetreports` |
| `telegram_alert` | Включить оповещения Telegram | `0` |
| `telegram_bot_token` | Токен Telegram Bot API | — |
| `telegram_channel_id` | ID чата или группы Telegram | — |
| `discord_alert` | Включить оповещения через вебхуки Discord | `0` |
| `discord_webhook_url` | URL вебхука Discord для доставки оповещений | — |

### 3.3 Параметры сканирования

| Variable | Purpose | Default |
|----------|---------|---------|
| `scan_hashtype` | Алгоритм хеширования для этапа 1: `auto`, `sha256`, `md5`, `both` | `auto` |
| `scan_max_depth` | Максимальная глубина каталогов для find | `15` |
| `scan_min_filesize` | Минимальный размер файла для сканирования | `24` bytes |
| `scan_max_filesize` | Максимальный размер файла для сканирования | `2048k` |
| `scan_hexdepth` | Глубина в байтах для сопоставления HEX-сигнатур | `262144` |
| `scan_hex_chunk_size` | Файлов на микро-пакет при HEX+CSIG сканировании (диапазон: 1024-20480) | `10240` |
| `scan_csig` | Включить сканирование составных сигнатур (csig) (только в нативном режиме) | `1` |
| `scan_workers` | Параллельные рабочие процессы для проходов MD5, SHA-256, HEX и CSIG | `auto` |
| `scan_cpunice` | Приоритет nice для процесса сканирования (-19 до 19) | `19` |
| `scan_ionice` | Приоритет класса планировщика ввода-вывода (0-7) | `6` |
| `scan_cpulimit` | Жёсткий лимит загрузки CPU в процентах (0=отключено) | `0` |
| `scan_ignore_root` | Пропускать файлы, принадлежащие root, при сканировании (по умолчанию не применяется в режиме монитора; см. `monitor_scan_owner_filters`) | `1` |
| `scan_ignore_user` | Пропускать файлы, принадлежащие определённым пользователям | — |
| `scan_ignore_group` | Пропускать файлы, принадлежащие определённым группам | — |
| `scan_user_access` | Разрешить не-root пользователям запускать сканирования | `0` |
| `scan_user_access_minuid` | Минимальный UID для создания пользовательских каталогов `--mkpubpaths` | `100` |
| `scan_find_timeout` | Таймаут для формирования списка файлов через find (0=отключено, мин. 60 с, рекомендуется 14400=4 часа) | `0` |
| `scan_export_filelist` | Сохранять результаты find в tmp/find_results.last | `0` |
| `scan_tmpdir_paths` | Общедоступные для записи временные пути, включаемые в сканирования -a/-r | `/tmp /var/tmp /dev/shm /var/fcgi_ipc` |
| `string_length_scan` | Включить статистический анализ длины строк | `0` |
| `string_length` | Минимальная подозрительная длина строки | `150000` |
| `scan_progress_log_interval` | Секунды между контрольными точками журнала прогресса при фоновых сканированиях (0=отключено) | `60` |
| `scan_meta_cleanup_age` | Часы хранения файлов метаданных завершённых/прерванных сканирований (0=отключено) | `48` |
| `maint_compress_age` | Дни до сжатия завершённых файлов сеансов в gzip (0=отключено) | `30` |
| `maint_archive_age` | Дни до объединения сжатых сеансов в ежемесячные архивы (0=отключено) | `90` |

### 3.4 Сканирование YARA

Нативное сканирование YARA вызывает бинарный файл `yara` (или `yr` из YARA-X) независимо от ClamAV, поддерживая полные модули YARA, скомпилированные правила и пользовательские файлы правил, которые ограниченное подмножество YARA в ClamAV обработать не может. Когда доступны оба варианта, предпочтение отдаётся `yr` (YARA-X). При значении `auto` нативный YARA включается только тогда, когда ClamAV недоступен и найден бинарный файл yara/yr, что предотвращает дублирующую оценку правил.

| Variable | Purpose | Default |
|----------|---------|---------|
| `scan_yara` | Включить нативный этап сканирования YARA: `auto` (обнаружить бинарный файл, откат к ClamAV), `0` (отключено), `1` (включено) | `auto` |
| `scan_yara_timeout` | Таймаут в секундах (0=без таймаута) | `300` |
| `scan_yara_scope` | Область правил, когда ClamAV также активен: `all` (полное нативное сканирование) или `custom` (только пользовательские правила нативно, ClamAV обрабатывает rfxn.yara) | `custom` |
| `sig_import_yara_url` | URL для загрузки пользовательских правил YARA при обновлении сигнатур | — |

**Пользовательские правила YARA** можно размещать в двух местах, оба сохраняются при обновлениях:
- `sigs/custom.yara` — однофайловые правила
- `sigs/custom.yara.d/` — каталог для подключения файлов правил `.yar` и `.yara`

Совместимо со сторонними наборами правил, такими как [YARA Forge](https://yarahq.github.io/) и [Signature Base](https://github.com/Neo23x0/signature-base). Скомпилированные правила (вывод `yarac`) также поддерживаются через `sigs/compiled.yarc`.

**Пакетное сканирование:** YARA 4.0+ и все версии YARA-X используют `--scan-list` для эффективного пакетного сканирования файлов. Более старые версии YARA автоматически переключаются на построчное сканирование файлов.

Включить во время выполнения без редактирования конфигурации:```bash
maldet -co scan_yara=1 -a /home/?/public_html

### 4.1 Коды завершения

| Код | Значение |
|------|---------|
| `0` | Успешно, вредоносных программ не обнаружено |
| `1` | Ошибка или все пути сканирования не существуют |
| `2` | Обнаружены вредоносные программы |

**Примеры:**```bash
# Scan all files under user web roots
maldet -a /home/?/public_html

# Scan recent files with auto-quarantine and YARA enabled
maldet -co quarantine_hits=1,scan_yara=1 -r /home/?/public_html 2

# Background scan with email alert to specific address
maldet -b -co [email protected] -a /var/www

# View the most recent scan report
maldet -e

# Email a specific report
maldet --mailto [email protected] -e 050910-1534.21135

# Output scan report as JSON (pipe to jq for formatting)
maldet --format json -e 050910-1534.21135

# List all reports as JSON
maldet --format json -e list

# Shorthand JSON output (equivalent to --format json -e)
maldet --json-report 050910-1534.21135

# Restore all quarantined files from a scan
maldet -s 050910-1534.21135

**Возобновление контрольной точки:** `--stop` записывает файл контрольной точки, фиксируя этап сканирования, количество срабатываний, параметры конфигурации и прогресс каждого воркера. `--continue` проверяет контрольную точку, предупреждает, если сигнатуры изменились, перестраивает список файлов на основе текущего состояния файловой системы, восстанавливает предыдущие срабатывания и возобновляет сканирование с прерванного этапа. HEX-воркеры возобновляют работу с точностью до чанка (потеря ~30 секунд работы на воркера).

**Поддержка движков:** Встроенный движок (воркеры HEX/CSIG/hash) и автономный `clamscan` поддерживают все операции жизненного цикла. ClamAV на основе демона (`clamdscan`/`clamd`) поддерживает только `--kill` — `--pause` и `--stop` отклоняются с сообщением об ошибке, так как состояние ввода-вывода демона непрозрачно и используется совместно с другими клиентами.

---

## 5. Параметры исключения

Исключение путей, типов файлов и сигнатур из сканирования и мониторинга.

Четыре файла исключений определяют, что исключается из сканирования:

| Файл | Формат | Назначение |
|------|--------|---------|
| `ignore_paths` | По одному пути на строку | Исключает каталоги или файлы из сканирования |
| `ignore_file_ext` | По одному расширению на строку | Исключает расширения файлов (`.js`, `.css`) |
| `ignore_sigs` | По одному шаблону на строку | Пропускает соответствующие сигнатуры (regex, подстрока) |
| `ignore_inotify` | По одному буквальному пути на строку | Исключает события мониторинга inotify |

Все файлы исключений находятся в `/usr/local/maldetect/`.

**Примеры:**```
# ignore_paths
/home/user/public_html/cgi-bin

# ignore_file_ext
.js
.css

# ignore_sigs
base64.inject.unclassed

# ignore_inotify (user-owned — your additions only)
/home/user/public_html/cache/
backup-

# ignore_inotify.defaults (LMD-managed — refreshed on every upgrade)
# Ships under /usr/local/maldetect/internals/ with curated defaults
# for systemd-private tmpdirs, MariaDB temp tables, Redis, ClamAV, etc.
# Do NOT edit — add your own entries to ignore_inotify instead.

**Как это работает:**

`maldet -m` запускает супервизорный процесс в режиме переднего плана по умолчанию. Супервизор управляет дочерним процессом `inotifywait` и обрабатывает восстановление после сбоев, перезагрузку конфигурации и отправку дайджест-оповещений. Используйте `-b`, чтобы демонизировать супервизор и немедленно вернуть управление.

1. `monitor_init()` устанавливает inotify-наблюдение за всеми файлами в отслеживаемых путях
2. События файлов помещаются в очередь и сканируются пакетно каждые `inotify_sleep` секунд (по умолчанию: 15)
3. Конфигурация перезагружается каждые `inotify_reloadtime` секунд (по умолчанию: 3600)
4. Параметры ядра `max_user_watches` и `max_user_instances` автоматически настраиваются для оптимальной производительности
5. Если `inotifywait` аварийно завершается, супервизор перезапускает его с экспоненциальной задержкой (2, 4, 8, 16, 32 секунды); после 3 последовательных сбоев супервизор завершает работу

**Дайджест-оповещения** отправляются периодически с интервалом, заданным параметром `digest_interval` (по умолчанию: `24h`). Если количество срабатываний с момента последнего дайджеста превышает `digest_escalate_hits`, немедленно отправляется эскалационное оповещение (по умолчанию: `0`, отключено).

**Дополнительные пути:** Чтобы отслеживать дополнительные пути без редактирования `conf.maldet`, добавьте их по одному на строку в файл, указанный в `monitor_paths_extra` (по умолчанию: `/usr/local/maldetect/monitor_paths.extra`). При каждой перезагрузке конфигурации они объединяются с основным списком наблюдения.

При использовании режима `users` отслеживаются только подкаталоги, соответствующие `inotify_docroot` (по умолчанию: `public_html,public_ftp`), а также системные временные каталоги `/tmp`, `/var/tmp` и `/dev/shm`.

**Файлы исключений (inotify):** Исключения мониторинга объединяют два файла — пользовательский `/usr/local/maldetect/ignore_inotify` и управляемый LMD `/usr/local/maldetect/internals/ignore_inotify.defaults`. Оба разделены переводами строк и поддерживают комментарии `#` и пустые строки. Пользовательский `ignore_inotify` по умолчанию принимает POSIX ERE (расширенные регулярные выражения) — якоря (`^`, `$`) и шаблоны (`.*`, `.+`) работают. Чтобы исключить литеральный путь, содержащий метасимволы регулярных выражений, добавьте префикс `literal:` (например, `literal:/tmp/app.cache`). Управляемый LMD `ignore_inotify.defaults` обрабатывается как литеральные подстроки — его курируемые записи автоматически экранируются при загрузке. Файл значений по умолчанию перезаписывается при каждом обновлении LMD; добавляйте локальные исключения только в `ignore_inotify`.

---

## 8. Система сигнатур

Типы сигнатур, соглашения об именовании, обновления и пользовательские файлы правил.

LMD поставляется с пятью типами сигнатур:

| Тип | Файл | Формат | Кол-во |
|------|------|--------|-------|
| MD5-хеши | `sigs/md5v2.dat` | `HASH:SIZE:{MD5}sig.name.N` | ~14,801 |
| SHA-256 хеши | `sigs/sha256v2.dat` | `HASH:SIZE:{SHA256}sig.name.N` | CDN |
| HEX-шаблоны | `sigs/hex.dat` | `HEXSTRING:{HEX}sig.name.N` | ~2,054 |
| Составные сигнатуры | `sigs/csig.dat` | `SUBSIG1\|\|SUBSIG2:signame` | CDN |
| Правила YARA | `sigs/rfxn.yara` | синтаксис YARA | ~783 правил |
| Скомпилированный YARA | `sigs/compiled.yarc` | вывод `yarac` | необязательно |

Также поддерживаются сигнатуры, совместимые с ClamAV:
- `sigs/rfxn.hdb` — формат ClamAV MD5
- `sigs/rfxn.ndb` — формат ClamAV HEX
- `sigs/rfxn.hsb` — формат ClamAV SHA-256 (требуется ClamAV >= 0.97)

**Соглашение об именовании сигнатур:** `{TYPE}category.name.variant_number`

Категории включают: `bin.` (двоичные), `c.` (язык C), `exp.` (эксплойты), `php.` (PHP), `js.` (JavaScript), `perl.` (Perl), `html.` (фишинг), `base64.inject.`, `gzbase64.`

**Префиксы срабатываний в отчётах сканирования:**

| Prefix | Source |
|--------|--------|
| `{MD5}` | совпадение MD5-хеша (этап 1) |
| `{SHA256}` | совпадение SHA-256 хеша (этап 1) |
| `{HEX}` | совпадение HEX-шаблона (этап 2) |
| `{CSIG}` | совпадение составной сигнатуры (этап 2.5) |
| `{SA}` | статистический анализ (длина строки) |
| `{YARA}` | нативное сканирование YARA (`scan_yara=1`) |
| `{CAV}` | движок ClamAV (clamd/clamscan) |

### 8.1 Обновление сигнатур

Сигнатуры обновляются ежедневно через задание cron или вручную:```bash
maldet -u            # update signatures
maldet -u --force    # force update even if current

**Quarantine file naming:** `FILENAME.INODE` (e.g., `config.php.23754`)

For non-root scans (e.g., ModSecurity2 upload scanning), quarantine data is stored under `/usr/local/maldetect/pub/USERNAME/quar/`. Use the `-U` flag to interact with non-root quarantine:```bash
maldet -U nobody -s 112012-0032.13771

Вредоносные загрузки отклоняются действием deny и регистрируются в журнале аудита ModSecurity. Аргумент режима не требуется — `hookscan.sh` по умолчанию использует режим ModSecurity для обратной совместимости. И ModSecurity v2, и v3 (libmodsecurity) используют один и тот же контракт `popen()`.

### 10.2 pure-ftpd```bash
# pure-ftpd.conf (or command-line flags):
CallUploadScript yes

# Start the upload-script daemon:
pure-uploadscript -r /usr/local/maldetect/hookscan.sh -B

Три поля, разделённые двоеточием: шаблон команды, триггерное регулярное выражение и регулярное выражение захвата имени. Когда обнаружено вредоносное ПО, Exim отклоняет сообщение, используя захваченное имя сигнатуры.

### 10.5 Универсальный API

Для пользовательских интеграций, пакетного сканирования и стороннего использования:```bash
# Single file scan
hookscan.sh generic /path/to/file
# Exit: 0 = clean, 1 = error, 2 = infected
# Stdout: CLEAN: /path, INFECTED: signame /path, ERROR: reason

# Batch scan from a file list
hookscan.sh generic --list /tmp/filelist.txt

# Batch scan from stdin
find /uploads -newer /tmp/marker -type f | hookscan.sh generic --stdin

Тестовые оповещения используют реальный конвейер рендеринга с синтетическими данными. Тема письма снабжается префиксом `[TEST]`. Изоляция канала гарантирует, что срабатывает только указанный канал.

### 10.8 Дайджест хуков

Обнаружения хуков сводятся в периодические дайджест-оповещения:```bash
# On-demand digest (reads all sources: monitor + hooks)
maldet --digest

# View hook scan activity
maldet --report hooks                    # last 24 hours
maldet --report hooks --last 7d          # last 7 days
maldet --report hooks --mode modsec      # filter by mode

См. `man maldet`(1) для схемы JSON v1.2 (единая форма `{schema_version, scanner, host, reports[]}` как для `-e SCANID`, так и для `-e list`).

### Обнаружение панелей управления хостингом

Ежедневный cron автоматически обнаруживает 12+ панелей управления хостингом и корректирует пути сканирования. Полную матрицу панелей см. в [6. Cron Daily](#6-cron-daily).

---

## Лицензия

LMD разрабатывается и поддерживается на добровольной основе Райаном Макдональдом [[email protected]].

Linux Malware Detect (LMD) распространяется под лицензией GNU General Public License (GPL) v2
без ограничений на использование или распространение. Заявление об авторских правах и текст GNU GPL
включены в файл `COPYING.GPL`. Для производных работ необходимо указывать авторство
в соответствии с требованиями GNU GPL.

---

## Поддержка

Исходный репозиторий LMD находится по адресу: https://github.com/rfxn/linux-malware-detect

Об ошибках, запросах функций и общих вопросах можно сообщить через GitHub issues или отправив письмо на [email protected].

Официальная страница проекта: https://www.rfxn.com/projects/linux-malware-detect/