RCLocals

Вдохновленный утилитой 'Autoruns' из Sysinternals, RCLocals анализирует все возможности автозапуска Linux для поиска бэкдоров, а также выполняет проверку целостности процессов, сканирование на наличие DLL-инъекций и многое другое.

Охваченные возможности:

·Список GPG-ключей, доверяемых системой

·Установленные пакеты

·Целостность файлов

·Целостность процессов (процессы и библиотеки, загруженные в процесс, которые не принадлежат ни одному установленному пакету)

·Процессы с подменёнными именами (процессы, использующие prctl() для изменения своего имени в /bin/ps)

·Записи CRON

·RC-файлы

·Файлы автозапуска X-системы

·Активные модули Systemd

·Модули таймеров Systemd

·tmpfiles.d

·linger users

·Мошеннические namespace'ы

·Хеширование бинарных файлов и библиотек + поиск в реестре хешей вредоносного ПО CYMRU https://team-cymru.com/community-services/mhr/

ТРЕБОВАНИЯ

Debian/Ubuntu и производные: установите debsums # apt-get install debsums

Все платформы: обратите внимание на нестандартные модули Python (colorama и DNS)

ИСПОЛЬЗОВАНИЕ

Базовое сканирование (только подозрительные находки)

python3 rclocals.py --triage

Полное детальное сканирование (вся информация)

python3 rclocals.py --all

Запуск конкретных тестов (отдельные модули):

python3 rclocals.py --test <имя_теста>

Доступные отдельные тесты:

TestGPG - Проверка GPG-ключей и подписей

TestPackages - Проверка целостности установленных пакетов

TestFileInt - Проверка целостности файлов и процессов

TestSpoofed - Обнаружение процессов с подменёнными именами

TestCron - Анализ записей и задач cron

TestRC - Проверка системных и пользовательских RC-файлов

TestX - Проверка файлов автозапуска X-системы

TestSystemd - Инспекция модулей и таймеров systemd

TestTMP - Проверка конфигураций tmpfiles.d

TestHash - Хеширование и проверка критически важных бинарных файлов

TestMount - Обнаружение процессов с частными точками монтирования

Примеры:

python3 rclocals.py --test TestCron

python3 rclocals.py --test TestHash

Скриншоты