Malware Erkennung in Webseiten unter Debian mit maldetect und inotify

Malware Detection ist oftmals ein schwieriges Thema. Heute habe ich einen kleines aber feines Howto (in englisch) gelesen, welches zeigt, wie mit kleinen Anpassungen das Programm maldetect auch unter Debian vernünftig läuft.
Auf Basis dieses Howtos habe ich ein Shell Skript geschrieben, was die notwendigen (und ein paar weitere) Änderungen an den maldetect Dateien vornimmt.
Ich habe es zwar selbst nicht getestet, aber dies müsste auch unter Ubuntu funktionieren, da sich die Systeme recht ähnlich sind.
Einfach die folgende Datei in einem Verzeichnis nach Wahl abspeichern (sie sollte danach auch weiterhin dort liegen bleiben für spätere Updates!):

Nutzung wie immer auf eigene Gefahr!

[pastacode lang=“bash“ message=“Shell-Script“ highlight=““ provider=“manual“]

#!/bin/bash
# debian-specific installation script by M. Cramer 
# howto taken from howtoforge written by "felan":
# http://www.howtoforge.com/forums/showthread.php?p=284504
#
 
CURDIR=`pwd`
PROG=`readlink -f $0`
 
echo "Installing prerequisites..."
apt-get -y -q install inotify-tools sed
 
echo "Fetching latest version of maldetect..."
cd /tmp
wget http://www.rfxn.com/downloads/maldetect-current.tar.gz
tar -xzf maldetect-current.tar.gz
cd maldetect-*
 
echo "Modifying install script..."
sed -r -i 's/^(.*cp.*\/libinotifytools.so\.0[ ]+\/usr\/lib\/.*)$/#\1/g' install.sh;
 
echo "Modifying cron job..."
sed -r -i '/maldet.*\/var\/www\/vhosts\/\?\/subdomains\/\?\/httpdocs.*$/ a\
        elif [ -d "/usr/local/ispconfig" || -d "/root/ispconfig" ]; then\
                # ispconfig\
                /usr/local/maldetect/maldet -b -r /var/www 2 >> /dev/null 2>&1' cron.daily;
 
echo "Modifying maldet script..."
sed -r -i 's/^\$nice .*$/\$nice -n \$inotify_nice \$inotify -r --fromfile \$inotify_fpaths \$exclude --timefmt "%d %b %H:%M:%S" --format "%w%f %e %T" -m -e create,move,modify >> \$inotify_log 2>\&1 \&/g' files/maldet;
 
sed -r -i '/lmdup\(\) \{.*$/ a\
ofile=\$tmpdir/.lmdup_vercheck.\$\$\
tmp_inspath=/usr/local/lmd_update\
rm -rf \$tmp_inspath\
rm -f \$ofile\
\
mkdir -p \$tmp_inspath\
chmod 750 \$tmp_inspath\
\
eout "\{update\} checking for available updates..." 1\
\
\$wget --referer="http://www.rfxn.com/LMD-\$ver" -q -t5 -T5 "\$lmdurl_ver" -O \$ofile >> /dev/null 2>\&1\
if \[ -s "\$ofile" \]; then\
        installed_ver=`echo \$ver | tr -d "."`\
        current_ver=`cat \$ofile | tr -d "."`\
        current_hver=`cat \$ofile`\
        if \[ "\$current_ver" -gt "\$installed_ver" \]; then\
                eout "\{update\} new version \$current_hver found, updating..." 1\
                '"$PROG"'\
        fi\
else\
    echo "no update file found. try again later"\
    exit\
fi\
\
rm -rf \$tmp_inspath \$ofile \$ofile_has\
\
exit;\
# skip all the rest\
' files/maldet;
 
echo "Modifying config..."
sed -r -i 's/^inotify=.*$/inotify=\/usr\/bin\/inotifywait/g' files/internals.conf
 
echo "Deleting unneccessary files..."
rm -f files/inotify/inotifywait
rm -f files/inotify/libinotifytools.so.0
 
./install.sh
 
rm -r /tmp/maldetect-*
 
cd $CURDIR
 
echo "Soll ein Echtzeit-Monitoring laufen bitte folgende Änderungen vornehmen:"
echo ""
echo "vi /usr/local/maldetect/maldetfilelist"
echo ""
echo "Einfügen (Verzeichnis/Verzeichnisse, die untersucht werden sollen)"
echo "/var/www"
echo "(bzw. das Basisverzeichnis für die Webseiten, kann auch /home/www oder ähnlich sein)"
echo ""
echo "vi /etc/rc.local"
echo ""
echo "Einfügen (Befehl startet den Monitor beim Boot des Servers)"
echo "/usr/local/maldetect/maldet -m /usr/local/maldetect/maldetfilelist"
echo ""
echo "Zum starten des Monitors einmalig den Befehl ausführen"
echo "/usr/local/maldetect/maldet -m /usr/local/maldetect/maldetfilelist"

[/pastacode]

Um sich bei Malwarefunden per Mail benachrichtigen zu lassen, müssen die Einstellungen in der Datei /usr/local/maldetect/conf.maldet geändert werden.
email_alert=1
sowie die Werte bei email_addr (eigene Mailadresse eintragen), sowie optional die Werte für den Betreff (email_subj).

Sollen bei einem Malwarefund die Dateien automatisch gesäubert und/oder in Quarantäne verschoben werden, dann muss zusätzlich noch die Einstellung quar_hits auf 1 gesetzt werden. Ich persönlich schaue mir die Malware Dateien lieber selbst noch einmal an und habe daher diese Option nicht gesetzt.

Da die Konfiguration (zumindest derzeit noch) bei einem Update überschrieben wird sollte man die Datei schützen, wenn die eigenen Änderungen nicht verloren gehen sollen:
chattr +i /usr/local/maldetect/conf.maldet
Der Schutz lässt sich mit chattr -i /usr/local/maldetect/conf.maldet wieder entfernen.

Mit den Standard-Einstellungen wird täglich ein CRON-Job ausgeführt. Dieser verhält sich unterschiedlich, je nachdem ob der Monitordienst eingerichtet wurde oder nicht.
Bei aktivem Monitoring wird lediglich eine tägliche Zusammenfassung der Malwarefunde versendet. Ist das Monitoring nicht aktiv, wird täglich ein Scan der Webverzeichnisse vorgenommen.
Hierbei unterscheiden sich die Verzeichnisse, je nachdem welche Hosting Panel Software verwendet wird:

• ensim:
  /home/virtual/*/fst/var/www/html und /home/virtual/*/fst/home/*/public_html
• plesk:
  /var/www/vhosts/*/httpdocs und /var/www/vhosts/*/subdomains/*/httpdocs
• ispconfig:
  /var/www
• sonstige:
  /home*/*/public_html

Passen all diese Pfade nicht zum eigenen System müssen die Pfade in /etc/cron.daily/maldet angepasst werden.

Wurde nun der Monitoringdienst eingerichtet, empfielt es sich zumindest einen ersten Scan von Hand anzustoßen. Die notwendigen Befehle stehen in der oben genannten CRON Datei, wobei wir die 2 am Ende des Befehls durch eine 60 ersetzen. Dies gibt den Zeitraum in Tagen an, seit dem eine Datei geändert worden sein muss, damit sie untersucht wird. 60 Tage ist hierbei das Maximum.
Stellt man eine höhere Zahl ein, so wird der Wert auf 7 zurückgesetzt.

Hier das Beispiel für den ersten Durchlauf auf einem Plesk System:

[pastacode lang=“bash“ message=“Kommandozeile“ highlight=““ provider=“manual“]

/usr/local/maldetect/maldet -b -a /var/www/vhosts/?/httpdocs
/usr/local/maldetect/maldet -b -a /var/www/vhosts/?/subdomains/?/httpdocs

[/pastacode]