如何检测 Windows、Linux 和 Mac 上的 Rootkit？

如果您想了解如何检测不同操作系统上的 Rootkit 以及如何阻止它们，那么您来对地方了。

Rootkit 是一种秘密且致命的恶意软件，黑客利用它来完全控制计算机或网络。 Rootkit 允许攻击者轻松操纵和窃取您系统中的数据。

尽管 Rootkit 可能看起来是一个软件，但它是一组工具，为攻击者提供对目标系统的未经授权的管理访问，通常会主动隐藏其存在。

一旦 Rootkit 以某种方式放置在系统上，攻击者就可以执行远程文件并更改主机的系统配置。识别系统或服务器上的 Rootkit 感染的最简单方法是运行 Rootkit 扫描。

让我们开始吧。

如何检测系统中的 Rootkit？

在计算机或服务器上手动检测 Rootkit 并不容易。 Rootkit 总是以另一个应用程序或文件的形式消失。因此，它们的存在很难被发现。然而，有多种命令行工具、软件和方法可以自动检测各种操作系统的 Rootkit。

视窗

在 Windows 上，没有用于检测 Rootkit 的命令行工具。然而，名为GMER 的强大而彻底的扫描应用程序可以非常有效地检测甚至删除 Windows 系统上的 Rootkit。

该工具在整个系统中搜索隐藏线程、注册表项和其他隐藏进程。通过执行各种分析（包括行为、签名和完整性检查）来检测和删除 Rootkit。

该应用程序有助于检测所有类型的 Rootkit，包括内核模式、应用程序、内存和引导加载程序 Rootkit。适用于所有主要 Windows 操作系统。

Linux 和 Mac 操作系统

使用chkrootkit和rkhunter命令行工具可以在所有 Linux 发行版和 Mac OS 上轻松检测 Rootkit。

使用 chkrootkit

chkrootkit彻底搜索计算机的二进制系统中的特洛伊木马、恶意软件和其他类型的恶意代码。搜索 Rootkit 对系统可执行二进制文件所做的更改。 Linux 发行版上未预安装 chkrootkit。

该工具使用方便，可以通过以下命令安装：

 sudo apt-get install chkrootkit

或者，您可以克隆Git 存储库并安装它。

 git clone https://github.com/Magentron/chkrootkit.git

然后切换到该目录并运行 chkrootkit。

 ./chkrootkit

此命令开始在您的系统中搜索 Rootkit。有关如何使用此工具的更多信息，请使用 help 命令。

 ┌──(root💀kali)-[/home//chkrootkit]
└─# ./chkrootkit -help
Usage: ./chkrootkit [options] [test ...]
Options:
        -h                show this help and exit
        -V                show version information and exit
        -l                show available tests and exit
        -d                debug
        -q                quiet mode
        -x                expert mode
        -r dir            use dir as the root directory
        -p dir1:dir2:dirN path for the external commands used by chkrootkit
        -n                skip NFS mounted dirs

该工具主要用于签名分析和完整性检查，以追踪系统或服务器中的rootkit。

使用 rkhunter

或者，还有其他命令行工具可以在 Linux 发行版上搜索 Rootkit。那是rkhunter 。该工具还可以检测系统中的远程漏洞和后门。只需使用以下命令安装此工具：

 $ sudo apt-get install rkhunter

下一步是运行rkhunter来检测后门和 rootkit。

 $ rkhunter -c

默认情况下将执行搜索并显示状态。如果有问题，会显示为红色。

这是取证分析的一个很好的工具，因为它运行额外的网络测试、内核模块检查以及chrootkit其他测试。

该工具适用于行为分析、签名分析，并需要在不同媒体上启动条件才能检测 Rootkit。

请务必在运行扫描之前更新chkrootkit和rkhunter工具数据库。只有这样我们才能检测到当前可用的最新 Rootkit。为此，请使用以下命令确保您的 Linux 系统已安装最新补丁。

 $ sudo apt update && sudo apt upgrade

Rootkit 清除工具

下面列出的 Rootkit 删除应用程序和工具易于使用且有效。这些工具可以自动检测 Rootkit 并将其从系统中删除。

#1. Avast Rootkit Scanner 工具在检测和从系统签名扫描中删除 Rootkit 方面功能强大。内存转储分析和系统内存搜索是其中一些功能。该程序还跟踪所有导入的 DLL（动态链接库）库调用。

它有一个全面的报告系统，允许您查看当前和以前的扫描结果以及每次扫描后的电子邮件警报报告。

除了计算机之外，您还可以使用 Avast 从 Android 或 iOS 手机中删除 Rootkit。

#2. Malware Bytes可防止 Rootkit、广告软件、间谍软件和其他威胁感染您的计算机。该程序检查内核内存的完整性并警告用户任何潜在的问题。只需单击一下即可扫描您的系统是否存在 Rootkit。这将使您的计算机平稳运行，同时也确保您的在线安全。

#3. Lynis是一款适用于 Linux 和 BSD 系统的出色安全审计工具。对系统安全和配置的多个要素进行深入审核。 Lynis 可以检测安全问题和配置缺陷，例如 rootkit 和后门。

它不仅可以识别缺陷，还提供解决方案，例如要删除哪些文件以及如何避免再次感染。

#4.恶意软件fox使用基于云的rootkit库。检查您的系统是否存在各种 Rootkit。它还可以检测高级Rootkit，例如键盘记录器。它可以检测并删除所有类型的 Rootkit，并关闭黑客可能用来访问您的计算机的后门。该数据库还定期更新，以确保最佳的安全性。

#5.Sophos 是一个快速检测和删除 Rootkit 的有用工具。该工具主要使用行为分析（检查所有文件和应用程序的行为），如果文件或程序的行为类似于 rootkit，则会立即将其删除。此外，它还可以保护注册表项和文件位置免遭重新感染。

结论

在您的计算机上安装复杂且功能强大的反恶意软件软件，并在打开附件或未知电子邮件时始终小心谨慎。仅从您信任的来源下载文件和程序。针对 Rootkit 的最佳防护是设置云存储的自动加密备份过程。

如果 Rootkit 已严重感染您的系统，则删除它的唯一方法是重新安装操作系统。

您可能还有兴趣了解扫描 Linux 服务器是否存在恶意软件和安全漏洞的工具。