# Rkhunter: 5 warnings, 2 fichiers suspects, possible rootkits: 1... que faire? **URL:** \ **Category:** Support Debian\ **Created:** [Juin 4, 2021, 5:33 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743 "2021-06-04T17:33:38Z")\ **Posts on this page:** 13\ **Page:** 1
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juin 4, 2021, 5:33 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/1 "2021-06-04T17:33:38Z")
Bonjour à tous, à la suite de la discussion suivante, comportement aléatoire du scanner (réparation efficace hier soir, puis nouvelle panne ce matin, puis de nouveau, ce soir, le scanner est trouvé par _xsane_) [https://www.debian-fr.org/t/de-nouveau-xsane-ne-trouve-plus-le-scannet-lide-110-canon/84726/](https://www.debian-fr.org/t/de-nouveau-xsane-ne-trouve-plus-le-scannet-lide-110-canon/84726/) , j’ai lancé _rkhunter_, et récolté les «Warning» suivants: ``` # rkhunter --check --skip-keypress | grep Warning /usr/bin/rkhunter [Warning] /usr/bin/lwp-request [Warning] Checking for enabled inetd services [Warning] Checking for backdoor ports [Warning] Checking for hidden files and directories [Warning] # rkhunter --check --rwo Warning: The file properties have changed: File: /usr/bin/rkhunter Current inode: 454958 Stored inode: 422636 Warning: The command '/usr/bin/lwp-request' has been replaced by a script: /usr/bin/lwp-request: Perl script text executable Warning: Found enabled inetd service: sane-port Warning: Network TCP port 6666 is being used by /usr/sbin/crtmpserver. Possible rootkit: Possible rogue IRC bot Use the 'lsof -i' or 'netstat -an' command to check this. Warning: Hidden directory found: /etc/.git Warning: Hidden directory found: /etc/.java Warning: Hidden file found: /etc/.rsyncd.conf.swp: Vim swap file, version 8.1, pid 23783, user root, host pclf-w970suw, file /etc/rsyncd.conf, modified ``` dont je ne sais pas quoi faire. (y compris avec les commandes _lsof -i_ et _netstat -an_) et un possible rootkit: ``` File properties checks... Files checked: 150 Suspect files: 2 Rootkit checks... Rootkits checked : 480 Possible rootkits: 1 Applications checks... All checks skipped The system checks took: 2 minutes and 55 seconds All results have been written to the log file: /var/log/rkhunter.log One or more warnings have been found while checking the system. Please check the log file (/var/log/rkhunter.log) ``` ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Juin 4, 2021, 7:55 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/2 "2021-06-04T19:55:50Z")
Le meilleur moyen de ne pas voir d’alertes est quand même de ne pas lancer rkhunter ou équivalents. Surtout si c’est pour voir qu’un scanner ne marche pas. _Astuce ! Les méchants pirates se fichent totalement des scanners._ Là on est plus dans les soucis d’interface chaise-clavier. Pour savoir si il y a plusieurs personnes sous le capot du cerveau de l’ordi, donne nous les retours de ces deux commandes : ```nohighlight w last ``` Et SURTOUT, réponds à la dernière demande de @Gilles92 sur ton premier fil. Celui-ci va vite s’éteindre. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juin 5, 2021, 9:19 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/3 "2021-06-05T09:19:52Z")
Merci Nam1962, w me semble normal: ``` $w 11:10:10 up 1 day, 3:01, 1 user, load average: 0,34, 0,49, 0,46 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT laguilde tty7 :0 ven.08 27:01m 14:03 3.27s mate-session ``` et la sortie de last: [last.log](https://www.debian-fr.org/uploads/short-url/8Oc47pyLcJZegdDEodg0r01O87I.log) (18,8 Ko) ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juin 5, 2021, 9:23 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/4 "2021-06-05T09:23:43Z")
> [@nam1962](#): > > Astuce ! Les méchants pirates se fichent totalement des scanners. Il est bien vrai que la paranoïa vient souvent de l’ignorance! désolé, je sais pourtant que ça agace! ---
**Author:** ![nam1962](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nam1962/32/9129_2.png) [@nam1962](https://www.debian-fr.org/u/nam1962)\ **Post date:** [Juin 5, 2021, 9:46 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/5 "2021-06-05T09:46:05Z")
Effectivement, à priori on ne voit que toi 🙂 Tu as aussi ```auto last -F ``` qui est intéressant car il te donne la durée des sessions (c’est comme çà que je retrouve mes journées de bidouilles à multiples démarrages ^^) > [@josephtux](#): > > Il est bien vrai que la paranoïa vient souvent de l’ignorance! Ou des anciens polytraumatismes W$ 😉 Sous W$ il sont souvent plusieurs sous le capot du cerveau de l’ordi ! Je pense que tu peux fermer ce fil et reprendre l’autre pour étudier un souci de réglage logiciel ou de faiblesse matérielle. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juin 5, 2021, 9:50 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/6 "2021-06-05T09:50:18Z")
> [@nam1962](#): > > polytraumatismes W$ C’est bien vrai que 20 ans de M$ imposé au travail pour une application rigide et ne remplissant que bien peu son objectif a été un traumatisme! Bien vu cher confrère 😉 ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Juin 5, 2021, 2:50 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/7 "2021-06-05T14:50:43Z")
salut ce serait bien que quelqu’un qui maitrise rkhunter nous fasse un petit topo. ce logiciel semble intéressant mais les warnings systématiquement présents m’empêche d’en tirer des conclusions , à part pour le résultat des Checking for rootkits… , Performing additional rootkit checks ---
**Author:** ![gilles2](https://www.debian-fr.org/user_avatar/www.debian-fr.org/gilles2/32/7966_2.png) [@gilles2](https://www.debian-fr.org/u/gilles2)\ **Post date:** [Juin 5, 2021, 3:08 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/8 "2021-06-05T15:08:32Z")
Bonjour dindoun 😀 Eh, bien déjà pour les fichiers et dossiers cachés, tu as l’explication plus loin, et le fichier /etc/. java caché c’est systématique, tu as toujours l’avertissement ( warning ). > [@""](#): > > `Checking for hidden files and directories` > [@""](#): > > ```auto > Warning: Hidden directory found: /etc/.git > Warning: Hidden directory found: /etc/.java > Warning: Hidden file found: /etc/.rsyncd.conf.swp: Vim swap file, version 8.1, pid 23783, user root, host pclf-w970suw, file /etc/rsyncd.conf, modified > > ``` Il faut réfléchir sur les avertisements ( aussi chercher sur Internet ), réfléchir à sa propre installation : Est-ce que mon installation est telle qu’elle peut déclancher un faux positifs pour rkhunter ? ) pour discriminer les faux positifs et ils sont fréquents. Se renseigner, comparer, faire des hypothèses, les tester, en tirer des conclusions, c’est le mieux que l’on puisse accomplir, je ne crois pas que l’on puisse rédiger un tuto valable en toutes circonstances sur rkhunter. ---
**Author:** ![josephtux](https://www.debian-fr.org/user_avatar/www.debian-fr.org/josephtux/32/3985_2.png) [@josephtux](https://www.debian-fr.org/u/josephtux)\ **Post date:** [Juin 6, 2021, 7:47 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/9 "2021-06-06T07:47:18Z")
Encore merci pour ces explications. Elles montre que cet outil n’est pas fait pour l’utilisateur Lambda, et éclaire la première remarque de > [@nam1962](#): > > Le meilleur moyen de ne pas voir d’alertes est quand même de ne pas lancer rkhunter ou équivalents. ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Juin 6, 2021, 8:44 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/10 "2021-06-06T08:44:01Z")
> [@josephtux](#): > > Encore merci pour ces explications. Elles montre que cet outil n’est pas fait pour l’utilisateur Lambda, Tout à fait. L’erreur classique est de croire que ce type d’outil est une mesure de protection (un anti-virus ou autre) alors que c’est une outil d’analyse post-mortem (forensic pour les anglophones). Et les nombreuses documentations erronées sur le web n’aident pas à ce niveau là… ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juin 6, 2021, 1:39 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/11 "2021-06-06T13:39:39Z")
rkhunter chkrootkit chkboot audit tripwire les 4 premier font systématiquement parti de l’installation de mes machines, serveurs comme poste de travail. Tout ça permet d’être informé sur ce qui peut se passer sur la machine, où d’être prévenu d’une modification. Avec souvent plein de warning. mais mieux vaut être prévenu pour rien que de pas l’être pour quelque chose. ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Juin 6, 2021, 1:42 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/12 "2021-06-06T13:42:31Z")
Il manque sans doute le plus pertinent dans cette liste comparer au besoin de josephtux 😉 > **[Linux Malware Detect – R-fx Networks](https://www.rfxn.com/projects/linux-malware-detect/)** ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Juin 6, 2021, 1:48 UTC](https://www.debian-fr.org/t/rkhunter-5-warnings-2-fichiers-suspects-possible-rootkits-1-que-faire/84743/13 "2021-06-06T13:48:10Z")
J’utilise peu de desktop sous linux, la faute aux jeux videos, donc j’ai peu voir pas du tout besoin sur mes machines d’un tel outil, mais en effet il devrait y figurer.