Kürzlich alarmierten mich Installationen von rkhunter auf einigen meiner Debian GNU/Linux-Server täglich über einen möglichen Malware-Befall:
Warning: The following processes are using suspicious files:
Command: dig
UID: 114 PID: 388
Pathname: /lib/x86_64-linux-gnu/libkeyutils.so.1.9
Possible Rootkit: Spam tool component
Command: dig
UID: 417 PID: 388
Pathname: 2799
Possible Rootkit: Spam tool component
Command: dig
UID: 418 PID: 388
Pathname: 2799
Possible Rootkit: Spam tool component
Command: dig
UID: 419 PID: 388
Pathname: 2799
Possible Rootkit: Spam tool component
Nach etwas Recherche dann die Erkenntnis:
Christian Hesse (eworm): But rkhunter has a match on the plain file name „libkeyutils.so.1.9“, see /usr/bin/rkhunter from line 9765. I guess any malicious software used that file name in the past. […]
A. Bosch (progandy): It seems there was an SSHD rootkit in 2013 that used the name. That should be the reason for the entry in rkhunter.
Quelle: FS#63369 – [keyutils] RKhunter reports a possible rootkit
Die Lösung des Problems ist in dem Forumsbeitrag ebenfalls beschrieben. Nachdem ich in rkhunter.conf folgende Zeile eingefügt hatte, verschwand die Warnmeldung:
... EXCLUDE_USER_FILEPROP_FILES_DIRS=/lib/x86_64-linux-gnu/libkeyutils.so.1.9 ... RTKT_FILE_WHITELIST=/lib/x86_64-linux-gnu/libkeyutils.so.1.9 ...
