在哪里可以查找可能已安装在我的计算机上的恶意软件？

Question

我想分析我的 ubuntu 盒子以检测它是否被黑客入侵。我的问题是：在哪些地方可以发现是否启动了某些恶意软件？以下是某种原始列表：

1. 主播
2. 内核映像（我有 md5）
3. /sbin/init （我有 md5）
4. /etc/modules 中的内核模块
5. /etc/init.d 和 /etc/init 中的所有服务脚本（我有 md5）
6. /etc/rc.local
7. 侏儒自动运行

和 ？

我的问题是完全诚实的，没有恶意。只是为了检测我的盒子是否被盗用。

Answer 1

恶意软件的目标是做某事。因此，它需要与外部世界进行通信。因此，最好的方法是查看计算机上发生的网络流量。

我喜欢 dnstop 实用程序。安装方式sudo apt-get install dnstop

然后针对您的网卡运行该实用程序

sudo dnstop -l 3 eth0

当实用程序运行时按 3 键，这将更改屏幕以显示您的计算机发出的所有 dns 请求。

就我而言，我去了 Ubuntu，它试图访问以下内容

Query Name               Count      %   cum%
-------------------- --------- ------ ------
www.gravatar.com             2   40.0   40.0
askubuntu.com                2   40.0   80.0
ny.stackexchange.com         1   20.0  100.0

这让我了解访问了哪些网站。你需要做的就是什么都不做，坐等一会儿，看看你的电脑访问了什么。然后费力地跟进它访问的所有网站。

您可以使用许多工具，我认为这是一个很容易让您尝试的工具。

Answer 2

您永远无法知道您的 PC 是否已被感染。您也许可以通过监听来自计算机的流量来判断。以下是您可以执行的操作，以确保您的系统正常。请记住，没有什么是 100% 的。

• 确保您没有启用 root 帐户
• 确保您拥有最新的安全更新
• 不要安装您知道几乎或永远不会使用的软件
• 确保您的系统具有强密码
• 关闭任何不需要的服务或进程
• 安装一个好的 AV（如果您经常使用 Windows，或者可能包含基于 Windows 的病毒的电子邮件。）

至于查明你是否被黑了；您会收到弹出广告、重定向到您不打算访问的网站等。

我不得不说，/sys /boot /etc其中包括被认为是重要的。

Linux 恶意软件也可以使用内存取证工具进行检测，例如Volatility或Volatility

另外你可能想看看为什么我需要杀毒软件？. 如果您想安装防病毒软件，我建议您安装ClamAV