Die fiesen Malware Dinger auf dem Server in Schach halten

Auf dem Rootserver gibt es ab- und zu mal Panik, weil wieder mal eine Sicherheitslücke in einer Applikation (meist Joomla) oder in einem unscheinbaren plugin ausgenutzt wurde. Meist liegen das Eindringdatum und das aktive ausnutzen als Botserver, Spamschleuder, what ever sehr weit auseinander.

Das manuelle Auffinden der kompromittierten Datei, bzw. des Webs ist nicht ganz ohne. Man muss evtl. ganz schön kramen.

Da wir auf unserem Server eigentlich nur Bekannte haben, ist der Versuch verständlich ein betroffenes Web zu "reparieren" und keine Rücksicherung zu machen.

Doch hier muss man sich im Klaren sein, dass es die durchaus hohe Wahrscheinlichkeit gibt, dass man die Bereinigung nicht vollständig geschafft hat.

Nun bin ich vor knapp einem halben Jahr auf maldet gestoßen. Das kleine tool scannt seit dem inkrementell alle WEB Dateien und schickt gefundene verseuchte Dateien in die Quarantäne.

Benutzt wird der ohnehin installierte clamav Virenscanner. Maldet bringt seine eigenen Signaturen mit, die automatisch aktuell gehalten werden.

Einmal habe ich schon durch maldet einen Einbruch erkannt, bevor der Erfolg an zahlende Auftraggeber weitergegeben wurde.

Für Jessie muss man noch die init.d Datei ein wenig anpassen.

#!/usr/bin/env bash
### BEGIN INIT INFO
# Provides: maldet
# Required-Start:
# Required-Stop:
# Default-Start: 2 3 4 5
# Default-Stop: 0 1 6
# Description: Linux Malware Detect file monitoring
# processname: maldet
# chkconfig: 345 70 30
### END INIT INFO

Ein grep -b1 'scan report saved' /usr/local/maldetect/logs/event_log

5446-Dec 16 00:06:13 rootgemeinschaft maldet(23642): {scan} scan completed on /var/www/: files 47554, malware hits 0, cleaned hits 0, time 3068s
5586:Dec 16 00:06:13 rootgemeinschaft maldet(23642): {scan} scan report saved, to view run: maldet --report 151215-2315.23642
5707-Dec 16 06:30:12 rootgemeinschaft maldet(26094): {update} checking for available updates...

cat /etc/logrotate.d/maldet 
/usr/local/maldetect/logs/event_log {
        weekly
        missingok
        rotate 4
        compress
        delaycompress
        notifempty
        create 640 root adm
}
/usr/local/maldetect/logs/clamscan_log {
        weekly
        missingok
        rotate 4
        compress
        delaycompress
        notifempty
        create 640 root adm
        postrotate /sbin/service clamscan restart
        endscript
}
/usr/local/maldetect/logs/inotify_log {
        weekly
        missingok
        rotate 4
        compress
        delaycompress
        notifempty
        create 640 root adm
        postrotate /sbin/service maldet restart
        endscript
}