Meu linux está infectado? '-' [RESOLVIDO]

Henrique-RJ
(usa Outra)

Enviado em 30/11/2018 - 02:44h

Já vou adiantando que não sou profissional certificado em qualquer ramo de TI apenas um autodidata como tantos outros.

Eu só alterei o " /etc/ssh/sshd_config " porque o rkhunter apresentou a expressão " Warning " o que me pareceu ser alguma configuração insegura desse tal SSH.

É lógico que tem que tirar esse # ( jogo da velha ) para ativar essas duas opções. Só depois que fiz isso e dei um restart nesse serviço com " sudo restart /etc/sshd " é que, no escaneamento em seguida com o rkhunter, a palavrinha " Warning " não apareceu mais ( só uma tal " /usr/sbin/ifstatus " continuou que achei melhor não mexer pelo que pesquisei pois parece ser umas duas linhas de script que corrigem algo antigo relacionado a conexão na internet ).

" O que habita no esconderijo do Altíssimo e descansa à sombra do Onipotente diz ao Senhor: Meu refúgio e meu baluarte, Deus meu, em quem confio." Salmos 91:1-2

removido
(usa Nenhuma)

Enviado em 30/11/2018 - 02:49h

Só pra compartilhar com vocês:

Warning: The command '/usr/bin/egrep' has been replaced by a script: /usr/bin/egrep: POSIX shell script, ASCII text executable

Warning: The command '/usr/bin/fgrep' has been replaced by a script: /usr/bin/fgrep: POSIX shell script, ASCII text executable

Warning: The command '/usr/bin/ldd' has been replaced by a script: /usr/bin/ldd: Bourne-Again shell script, ASCII text executable 

Os warning acima são falsos positivo.

$ sudo pacman -Qo /usr/bin/egrep
/usr/bin/egrep pertence a grep 3.1-2

$ cat /usr/bin/egrep
#!/bin/sh
exec grep -E "$@"

$ cat /usr/bin/fgrep
#!/bin/sh
exec grep -F "$@"

$ cat /usr/bin/ldd
Muito grande, tive que colocar aqui:
https://pastebin.com/kEpkgRAb

$ sudo pacman -Qo /usr/bin/fgrep
/usr/bin/fgrep pertence a grep 3.1-2

$ sudo pacman -Qo /usr/bin/ldd
/usr/bin/ldd pertence a glibc 2.28-5

Info:
https://bugzilla.redhat.com/show_bug.cgi?id=1275068
https://bugzilla.redhat.com/show_bug.cgi?id=1411130

--

Warning: Hidden file found: /usr/share/man/man5/.k5identity.5.gz: gzip compressed data, max compression, from Unix, original size 22

Warning: Hidden file found: /usr/share/man/man5/.k5login.5.gz: gzip compressed data, max compression, from Unix, original size 19 

k5identity.5.gz e .k5login.5.gz também são falsos positivo.

/usr/share/man/man5/.k5identity.5.gz pertence a krb5 1.16.1-1
/usr/share/man/man5/.k5login.5.gz pertence a krb5 1.16.1-1

Info:
https://bugzilla.redhat.com/show_bug.cgi?id=553134

--
Aparentemente, o warning do /etc/.updated também consta como falso positivo.

Warning: Hidden file found: /etc/.updated: ASCII text 

$ cat /etc/.updated

# This file was created by systemd-update-done. Its only 

# purpose is to hold a timestamp of the time this directory

# was updated. See man:systemd-update-done.service(8). 

Info:
https://bugzilla.redhat.com/show_bug.cgi?id=1173481
https://bugzilla.redhat.com/show_bug.cgi?id=1288450

--

Já o SSH pode ser mudado como já foi mostrado acima.

Warning: The SSH configuration option 'PermitRootLogin' has not been set.

The default value may be 'yes', to allow root access. 

Info:
https://www.tecmint.com/disable-ssh-root-login-in-linux/
--

O segundo warning ainda não obtive uma informação detalhada. Preciso pesquisar mais, quem souber algo sobre, compartilhe, por favor.

Warning: The SSH configuration option 'Protocol' has not been set.

The default value may be '2,1', to allow the use of protocol version 1. 

Achei um tópico sobre o assunto, mas é de 2011, por isso não sei se a resposta está factível para os dias atuais:
https://www.linuxquestions.org/questions/linux-security-4/rkhunter-warnings-how-do-i-fix-these-5-of-...

removido
(usa Nenhuma)

Enviado em 30/11/2018 - 03:00h

Pelo que li, dependendo da distro pode aparecer o #, mas as vezes não aparece.
No meu caso apareceu, então eu removi o # como dizia detalhadamente num artigo.

usr/sbin/ifstatus? Esse diretório não existe no meu.