Antidoto

Linux antimalware and antirootkit tool

Hot to run it:

wget --no-check-certificate https://raw.githubusercontent.com/pavel-odintsov/Antidoto/master/Antidoto.pl -OAntidoto.pl
perl Antidoto.pl

How to enable ClamAV checks:

yum install -y clamav clamd
freshclam
wget http://www.rfxn.com/downloads/rfxn.ndb -O/var/lib/clamav/rfxn.ndb
wget http://www.rfxn.com/downloads/rfxn.hdb -O/var/lib/clamav/rfxn.hdb

/etc/init.d/clamd restart
chkconfig clamd on

Где работает Antidoto?

• Умеет работать как со стороны OpenVZ ноды для сканирования VPS, так и внутри VPS либо обычного выделенного сервера

Что умеет Antidoto?

• Сообщать об удаленных файлах с информацией о дате последнего логина: /var/log/btmp, /var/log/wtmp
• Сообщать о наличии crontab файлов (/var/spool/cron/crontabs, /var/spool/cron) для пользователей apache, www-data
• Сообщать о не пустых файлах и папках со странными именами в папках /tmp и /var/tmp
• Сообщать о процессах запущенных по относительному пути (./programm_name) не от root пользователя
• Сообщать о процессах, исполняемый файл которых был удален после запуска приложения
• Определять особо популярную у нас заразу по md5 (база в 10 вирусов вшита в код)
• Cообщать об опасных прослушиваемых udp, tcp портах (irc, proxy, botnet controllers)
• Cообщать об опасных udp, tcp подключениях к удаленным машинам (irc, botnet controllers)
• Cообщать о процессах с архитектурой отличной от архитектуры машины - например, 32 битное ПО на 64 битном серверве
• Сообщать о процессах, исполняемые файлы которых являются статически слинкованными файлами (с интегрированными библиотеками)
• Сообщать о процессах, которые были запущены с использованием директивы LD_PRELOAD (подключение библиотек к ПО без линковки)
• Сообщать о процессах, бинарные файлы которых имеют флаги SGID или SUID