Auf Malware prüfen

Wenn ein Verdacht auf einen kompromittierten Server besteht, kann das System über das Rettungssystem gescannt werden. Dies hat den Vorteil, dass mögliche Malware während des Scans nicht aktiv ist.

1. Rescue-System aktivieren

   Wie in diesem Getting Started erklärt:

   • Wähle den Server aus
   • Navigiere zu "Rescue" und wähle "Rescue aktivieren & Reset" aus
   • Verbinde dich nach dem Reboot als root-Benutzer mit dem Server

2. Chroot-Umgebung erstellen

   Führe lsblk aus, um den Namen der Root-Partition zu bestimmen (z. B. sda1).

   Hänge die Root-Partition in /mnt ein und erstelle eine chroot-Umgebung:

   Ersetze sda1 mit dem Namen deiner Root-Partition.

   mount /dev/sda1 /mnt
   chroot-prepare /mnt
   chroot /mnt   

   Du kannst nun durch die Dateistruktur der primären Festplatte des Servers navigieren.

3. Scanne das System

   • Installiere einen Malware-Scanner und führe diesen aus. Zum Beispiel ClamAV:

     apt update
     apt install clamav -y
     freshclam
     clamscan -r -i / --exclude-dir="^/sys" --exclude-dir="^/proc"

     Durch -r wird rekursiv gescannt, durch -i werden im Output nur betroffene Dateien angegeben.
   
   
   • Verwende rkhunter, um auf Rootkits zu prüfen:

     apt install rkhunter -y
     rkhunter --update
     rkhunter --check --skip-keypress

   
   

   Überprüfe die Scan-Ergebnisse sorgfältig. Sollte Malware gefunden werden, empfehlen wir dringend, den Server komplett neu zu installieren, anstatt lediglich die erkannten Dateien zu entfernen, da kompromittierte Systeme möglicherweise weitere Hintertüren enthalten.

4. Führe Neustart aus

   Führe exit aus, um die chroot-Umgebung zu verlassen und starte den Server neu, um das Rescue-System zu verlassen:

   exit
   reboot

Nach dem Neustart solltest du dich wieder wie gewohnt mit dem Server verbinden können.