rkhunter

1 🛡️ rkhunter (Der forensische Aufpasser gegen Rootkits)

Erlangt ein Angreifer administrative Rechte, tauscht er häufig Standard-Systembefehle (wie ls, ps, top oder netstat) gegen modifizierte Versionen aus. Ein verändertes ps zeigt dem Administrator dann den Prozess des Angreifers nicht mehr an; ein manipuliertes netstat versteckt die offene Backdoor-Verbindung.

rkhunter bricht diese Täuschung durch den Abgleich mit vertrauenswürdigen Referenzen.

Das Werkzeug arbeitet in mehreren, streng sequenziellen Phasen:

1. Prüfsummen-Vergleich:
   Es berechnet die Krypto-Prüfsummen der lokalen Kern-Binaries und gleicht sie mit den Werten ab, die direkt nach einer frischen Installation (oder dem letzten verifizierten Update) in einer lokalen Datenbank (rkhunter.dat) eingefroren wurden.
2. Signatur-Scan:
   Es durchsucht das Dateisystem nach spezifischen Mustern, Dateien und Verzeichnisstrukturen, die von bekannten Rootkits hinterlassen werden.
3. System-Härtungs-Check:
   Es überprüft kritische Konfigurationen (z. B. ob Root-Logins via SSH erlaubt sind, ob versteckte Dateien an ungewöhnlichen Orten liegen oder ob Linux-Kernel-Module (LKM) verdächtige Anomalien aufweisen).

Die Kernphilosophie von rkhunter lautet:

„Vertraue niemals den Werkzeugen des laufenden Systems. Verifiziere jede essentielle Binärdatei auf Chiplevel gegen eine gesicherte Baseline und melde jede strukturelle Anomalie sofort.“

2 📦 DIE INSTALLATIONSBEFEHLE FÜR DIE „FANTASTISCHEN VIER“

Da rkhunter ein absoluter Sicherheits-Standard ist, ist es in den Kern-Repositories aller großen Distributionen vertreten. Die Bereitstellung erfolgt nativ über die jeweilige Paketverwaltung.

2.1 1️⃣ Debian 13 „Trixie“ (und Ubuntu / Linux Mint)

Unter Debian wird bei der Installation automatisch ein täglicher Cronjob eingerichtet, der Berichte an den lokalen Root-Mail-Account sendet.

# 1. Paketquellen aktualisieren und rkhunter installieren
sudo apt update && sudo apt install -y rkhunter

# 2. Die Konfiguration öffnen, um grundlegende Anpassungen vorzunehmen (z.B. Mail-Benachrichtigungen)
sudo nano /etc/rkhunter.conf

# 3. WICHTIGSTER SCHRITT: Die lokale Baseline-Datenbank mit den aktuellen, 
# sauberen Prüfsummen der Debian-Pakete initialisieren
sudo rkhunter --propupd

# 4. Ersten vollständigen System-Check durchführen
sudo rkhunter --check --sk

2.2 2️⃣ Arch Linux

Unter Arch Linux liegt das Paket im offiziellen [extra]-Repository. Da Arch ein Rolling-Release ist, muss nach jedem Systemupdate (pacman -Syu) zwingend die Datenbank aktualisiert werden.

# 1. System synchronisieren und rkhunter installieren
sudo pacman -Sy --needed rkhunter

# 2. Lokale Baseline-Datenbank der Systemdateien anlegen
sudo rkhunter --propupd

# 3. Rootkit-Signaturen aus dem Netz auf den neuesten Stand bringen
sudo rkhunter --update

# 4. System-Scan starten (--sk überspringt die Bestätigungstaste nach jeder Sektion)
sudo rkhunter --check --sk

2.3 3️⃣ Fedora

Fedora bindet das Tool direkt über DNF ein. Es empfiehlt sich, die Signaturen direkt nach der Installation zu ziehen.

# 1. Installation via DNF anstoßen
sudo dnf install -y rkhunter

# 2. Die Prüfsummen-Datenbank der offiziellen Fedora-Binaries einpflegen
sudo rkhunter --propupd

# 3. Bekannte Rootkit-Musterdatenbank aktualisieren
sudo rkhunter --update

# 4. Vollständigen Scan durchführen und nur Warnungen im Terminal ausgeben
sudo rkhunter --check --rwo

2.4 4️⃣ openSUSE (Tumbleweed / Leap)

Unter openSUSE lässt sich das Paket sauber über Zypper ins System integrieren.

# 1. rkhunter aus den offiziellen Hauptquellen installieren
sudo zypper install -y rkhunter

# 2. Die systemweite Datei-Baseline für openSUSE initialisieren
sudo rkhunter --propupd

# 3. Online-Update der Rootkit-Erkennungsregeln ausführen
sudo rkhunter --update

# 4. Lokalen Scan ausführen
sudo rkhunter --check --sk

3 🛠️ Verwendung in der Praxis

Die Arbeit mit rkhunter erfordert Disziplin. Die wichtigsten Parameter für den Terminal-Alltag:

# 1. Manueller System-Check, der nur echte Warnungen ausgibt (Extrem nützlich für Skripte)
sudo rkhunter --check --rwo

# 2. Datenbank nach einem gewollten System- oder Kernel-Update aktualisieren (Verhindert False Positives)
sudo rkhunter --propupd

# 3. Logdatei des letzten Scans detailliert analysieren
less /var/log/rkhunter.log

# 4. Version und den Status der Signaturdateien prüfen
sudo rkhunter --versioncheck

4 ⚠️ DIE TYPISCHEN RKHUNTER-STOLPERSTEINE

4.1 Das „Hilfe, ich habe 20 Warnungen nach einem System-Update!“ - Phänomen

• Das Problem:
  Ein Nutzer führt ein normales System-Update durch (z. B. via apt upgrade oder pacman -Syu). Beim nächsten rkhunter-Scan schlägt das Tool massiv Alarm und markiert Kernkomponenten wie /usr/bin/ls oder /usr/bin/ssh rot mit dem Status WARNING. Der User glaubt er wurde gehackt.
• Die Ursache:
  Architektonisch bedingt!
  rkhunter vergleicht die Dateien mit der alten Baseline (rkhunter.dat). Durch das legitime Update der Distribution haben sich die echten Binärdateien physikalisch verändert. rkhunter erkennt diese veränderten Prüfsummen korrekterweise als Abweichung.
• Die Lösung:
  Man muss rkhunter nach jedem bewussten System-Update mitteilen, dass die neuen Dateien legitim sind. Der Befehl dazu lautet auf allen Systemen: sudo rkhunter --propupd.

4.2 Fehlalarme (False Positives) bei modernen Display-Managern oder Shells

• Das Problem:
  rkhunter bemängelt permanent versteckte Verzeichnisse (z. B. im /dev/-Verzeichnis) oder beschwert sich über Skripte, die sich in Boot-Vorgänge einklinken.
• Die Ursache:
  Manche modernen Distributionen oder Desktop-Umgebungen (wie Wayland-Komponenten oder spezialisierte Zsh-Frameworks) nutzen temporäre, versteckte Strukturen, die rkhunter standardmäßig verdächtig vorkommen.
• Tipp:
  Ausnahmen definieren.
  In der Datei /etc/rkhunter.conf können legitime Verzeichnisse über die Direktive ALLOWHIDDENDIR=/dev/.dein-ordner oder ALLOWSCRIPTDIR permanent auf die Whitelist gesetzt werden, um das Rauschen bei den täglichen Berichten zu eliminieren.

5 📝 FAZIT

rkhunter ist eine mächtige, unkomplizierte Absicherung für jeden Linux-Server und jedes Produktivsystem. Seine Effizienz steht und fällt jedoch mit der korrekten Pflege der Baseline-Datenbank durch den Administrator.