LMD Tool：Linux恶意软件检测工具

2023-11-06 02:20
文章标签 linux 检测工具 tool 恶意软件 lmd

本文主要是介绍LMD Tool：Linux恶意软件检测工具，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

工具介绍

Linux恶意软件检测工具(LMD)是一个GNU GPLv2许可下发布的Linux恶意软件扫描器，其设计理念是是针对在共享主机环境中所面临的威胁。它使用来自网络边界的入侵检测系统的威胁数据，提取当前被经常用于攻击的恶意软件，并针对检测到的恶意软件生成标识。此外，数据的威胁也来自于用户通过LMD上传功能提交的恶意软件，以及从恶意软件联盟中获取到的资源。LMD使用的签名，是MD5散列和 HEX模式匹配，他们也能较为容易地输出到其他的检测工具如ClamAV。

LMD Tool：Linux恶意软件检测工具

这款工具的出现背景是因为当前支持对Linux系统恶意程序检测的开源或者免费工具，有着较高的误报和漏报率。许多防病毒产品对于linux平台上的恶意程序检测却有着一个较差的威胁检测跟踪记录，特别是针对在共享的主机环境。

LMD Tool：Linux恶意软件检测工具

共享主机环境的威胁环境相比于其他环境是较为独特的，标准的AV产品检测组件，他们的检测目标主要是OS级别的木马，rootkit和传统的感染文件病毒，但是却忽略了越来越多的用户帐户级上的恶意软件，而这些一般被攻击者作为攻击的平台或者跳板。

从目前来看，支持多用户共享环境的恶意软件检测、修复的商业产品依然表现糟糕。通过LMD 1.5检测，可针对8883种恶意软件的哈希值进行分析识别，而相比之下，近30款商业防病毒和恶意软件的产品的表现，却令人不太满意。检测结果如下，

从上面的数据我们可以看到，有6931种(约占总数78%)的威胁，未被商业防病毒和恶意软件产品发现。而检测到的1951个威胁中，商业防病毒和恶意软件产品的平均检出率为58%，较低和较高的检出率分别为10%和100%。从以上的数据看，目前的多用户共享环境恶意程序威胁检测应该是开发的重点。

功能特点

-文件MD5哈希值检测，快速识别威胁

-用于识别威胁变量的HEX模式匹配

-拥有对模糊威胁进行检测的统计分析组件(例如：Base64编码)

-作为性能改进的扫描引擎，与ClamAV等工具进行联合检测

-通过-u|-update进行签名更新

-通过-d|-update更新集成的版本功能

-通过扫描最近的选项来扫描在一定时间内已添加/改变的文件

-全路径扫描

-上传可疑的恶意软件到rfxn.com对其哈希值进行重查

-查看扫描结果的报表系统

-在安全的方式中存储威胁的隔离队列

-隔离批处理的选项，以隔离当前或过去的扫描结果

-隔离恢复选项，将文件还原到原路径

-针对恶意代码注入的字符串的清除规则

-清除批处理选项，可清除之前的扫描报告

-清除规则针对Base64和gzinflate

-每日定时对过去24小时用户homedirs上进行扫描

-基于内核inotify实时对文件的创建/修改进行扫描

-基于内核inotify监控标准输入或文件

-基于内核inotify监控系统用户的操作特征

-基于内核inotify监控可配置的用户的HTML root

数据来源

LMD不仅仅是基于签名和哈希值地对恶意软件进行检测，它也收集外部其他环境的威胁以及其他被检测到的威胁，来提高它本身的检测能力。

针对恶意软件的数据，用于生成LMD签名主要有四个来源：

1、来自网络边界的IPS:网络管理作为日常工作的一部分，因为其主要是网站相关的，比如网站服务器经常会收到大量的滥用事件，而所有这一切都是通过网络边界的IPS进行记录。IPS事件被进行处理，从其中提取到恶意URL，将编码成playload和Base64 / GZIP的滥用数据进行解码，最终对恶意软件进行检索，分类，然后生成适签名。LMD的签名，绝大多数是来自IPS提取的数据。

2、来自社区联盟数据：数据的收集是从多个恶意社区网站如clean-mx和malwaredomainlist，然后对新的恶意软件进行处理检索，分类审查，然后生成签名。

3、来自ClamAV：从ClamAV上的Hex和MD5签名监测到相关更新，并适用于低的目标用户群加入到 LMD中。而到目前为止，已经有大约400个签名从ClamAV移植到LMD项目，而LMD项目也贡献回ClamAV超过1100个签名，目前也继续在现有基础上这么做。

4、来自用户提交：LMD具有校验功能，允许用户提交可疑的恶意软件进行审查，这已经成为一个非常受欢迎的功能，它平均每周可提交30-50个可疑恶意软件。

威胁检测

截止到目前为止，LMD 1.5共有10822个(8908 MD5 / 1914)签名。其中检测到的60大威胁如下，

base64.inject.unclassed     perl.ircbot.xscan
bin.dccserv.irsexxy         perl.mailer.yellsoft
bin.fakeproc.Xnuxer         perl.shell.cbLorD
bin.ircbot.nbot             perl.shell.cgitelnet
bin.ircbot.php3             php.cmdshell.c100
bin.ircbot.unclassed        php.cmdshell.c99
bin.pktflood.ABC123         php.cmdshell.cih
bin.pktflood.osf            php.cmdshell.egyspider
bin.trojan.linuxsmalli      php.cmdshell.fx29
c.ircbot.tsunami            php.cmdshell.ItsmYarD
exp.linux.rstb              php.cmdshell.Ketemu
exp.linux.unclassed         php.cmdshell.N3tshell
exp.setuid0.unclassed       php.cmdshell.r57
gzbase64.inject             php.cmdshell.unclassed
html.phishing.auc61         php.defash.buno
html.phishing.hsbc          php.exe.globals
perl.connback.DataCha0s     php.include.remote
perl.connback.N2            php.ircbot.InsideTeam
perl.cpanel.cpwrap          php.ircbot.lolwut
perl.ircbot.atrixteam       php.ircbot.sniper
perl.ircbot.bRuNo           php.ircbot.vj_denie
perl.ircbot.Clx             php.mailer.10hack
perl.ircbot.devil           php.mailer.bombam
perl.ircbot.fx29            php.mailer.PostMan
perl.ircbot.magnum          php.phishing.AliKay
perl.ircbot.oldwolf         php.phishing.mrbrain
perl.ircbot.putr4XtReme     php.phishing.ReZulT
perl.ircbot.rafflesia       php.pktflood.oey
perl.ircbot.UberCracker     php.shell.rc99
perl.ircbot.xdh             php.shell.shellcomm

实时监控

Inotify监控功能的目的是监测路径/用户实时文件创建/修改/移动操作。此选项需要内核支持inotify_watch(config_inotify)。如果您运行的是CentOS 4，你应该考虑进行升级：

升级路径：http://www.rfxn.com/upgrade-centos-4-8-to-5-3/

针对监控对象(用户/路径/文件)的不同，分为三种不同的监控模式，

LMD Tool 下载链接，请戳我


作者：寰者


来源：51CTO


这篇关于LMD Tool：Linux恶意软件检测工具的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/353938。

相关文章

Linux内核的调试（TODO）

Linux内核的调试（TODO）

（TODO）
阅读更多...
linux-基础知识3

linux-基础知识3

打包和压缩 zip 安装zip软件包 yum -y install zip unzip 压缩打包命令: zip -q -r -d -u 压缩包文件名 目录和文件名列表 -q:不显示命令执行过程-r:递归处理，打包各级子目录和文件-u:把文件增加/替换到压缩包中-d:从压缩包中删除指定的文件 解压:unzip 压缩包名 打包文件 把压缩包从服务器下载到本地 把压缩包上传到服务器(zip
阅读更多...
Linux 网络编程 --- 应用层

Linux 网络编程 --- 应用层

一、自定义协议和序列化反序列化 代码： 序列化反序列化实现网络版本计算器 二、HTTP协议 1、谈两个简单的预备知识 https://www.baidu.com/ --- 域名 --- 域名解析 --- IP地址 http的端口号为80端口，https的端口号为443 url为统一资源定位符。CSDNhttps://mp.csdn.net/mp_blog/creation/editor
阅读更多...
【Python编程】Linux创建虚拟环境并配置与notebook相连接

【Python编程】Linux创建虚拟环境并配置与notebook相连接

1.创建 使用 venv 创建虚拟环境。例如，在当前目录下创建一个名为 myenv 的虚拟环境： python3 -m venv myenv 2.激活 激活虚拟环境使其成为当前终端会话的活动环境。运行： source myenv/bin/activate 3.与notebook连接 在虚拟环境中，使用 pip 安装 Jupyter 和 ipykernel： pip instal
阅读更多...
Linux_kernel驱动开发11

Linux_kernel驱动开发11

一、改回nfs方式挂载根文件系统         在产品将要上线之前，需要制作不同类型格式的根文件系统         在产品研发阶段，我们还是需要使用nfs的方式挂载根文件系统         优点：可以直接在上位机中修改文件系统内容，延长EMMC的寿命         【1】重启上位机nfs服务         sudo service nfs-kernel-server resta
阅读更多...
【Linux 从基础到进阶】Ansible自动化运维工具使用

【Linux 从基础到进阶】Ansible自动化运维工具使用

Ansible自动化运维工具使用 Ansible 是一款开源的自动化运维工具，采用无代理架构（agentless），基于 SSH 连接进行管理，具有简单易用、灵活强大、可扩展性高等特点。它广泛用于服务器管理、应用部署、配置管理等任务。本文将介绍 Ansible 的安装、基本使用方法及一些实际运维场景中的应用，旨在帮助运维人员快速上手并熟练运用 Ansible。 1. Ansible的核心概念
阅读更多...
Linux服务器Java启动脚本

Linux服务器Java启动脚本

Linux服务器Java启动脚本 1、初版2、优化版本3、常用脚本仓库 本文章介绍了如何在Linux服务器上执行Java并启动jar包， 通常我们会使用nohup直接启动，但是还是需要手动停止然后再次启动， 那如何更优雅的在服务器上启动jar包呢，让我们一起探讨一下吧。 1、初版 第一个版本是常用的做法，直接使用nohup后台启动jar包， 并将日志输出到当前文件夹n
阅读更多...
[Linux]：进程(下)

[Linux]：进程(下)

✨✨ 欢迎大家来到贝蒂大讲堂✨✨ 🎈🎈养成好习惯，先赞后看哦~🎈🎈 所属专栏：Linux学习 贝蒂的主页：Betty’s blog 1. 进程终止 1.1 进程退出的场景 进程退出只有以下三种情况： 代码运行完毕，结果正确。代码运行完毕，结果不正确。代码异常终止（进程崩溃）。 1.2 进程退出码 在编程中，我们通常认为main函数是代码的入口，但实际上它只是用户级
阅读更多...
【Linux】应用层http协议

【Linux】应用层http协议

一、HTTP协议 1.1 简要介绍一下HTTP        我们在网络的应用层中可以自己定义协议，但是，已经有大佬定义了一些现成的，非常好用的应用层协议，供我们直接使用，HTTP（超文本传输协议）就是其中之一。        在互联网世界中，HTTP（超文本传输协议）是一个至关重要的协议，他定义了客户端（如浏览器）与服务器之间如何进行通信，以交换或者传输超文本（比如HTML文档）。
阅读更多...
如何编写Linux PCIe设备驱动器 之二

如何编写Linux PCIe设备驱动器 之二

如何编写Linux PCIe设备驱动器 之二 功能(capability)集功能(capability)APIs通过pci_bus_read_config完成功能存取功能APIs参数pos常量值PCI功能结构 PCI功能IDMSI功能电源功率管理功能 功能(capability)集 功能(capability)APIs int pcie_capability_read_wo
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2