A montagem do sda6 para executar o rkhunter permite que o malware se torne ativo?

Question

Acho que tenho malware no meu laptop. Você vê, eu tenho atividade de disco suspeito depois de acessar um site esquivo.

Então, eu vou rodar o rkhunter no laptop usando um stick USB knoppix ao vivo.

Meu sistema linux está na partição / dev / sda6. Presumivelmente eu preciso realmente montar sda6 para executar o rkhunter nele (ou estou errado). Mas se eu montar, não isso permite que o malware se torne ativo e faça coisas desagradáveis?

Estou apenas começando a aprender sobre scanners de malware e estava propondo a execução o seguinte no laptop: rkhunter, chkrootkit e clamtk ou clamav. Will executar todos os 3 programas é suficiente para procurar por malware?

Adquiri o malware ao executar o linux no sda6, mas preciso verificar este malware nas outras partições também (sda1, sda2 e sda3 são para Windows, e sda5 é troca de linux)?

O rkhunter é melhor que o chkrootkit ou vice-versa?

    

Answer 1

Como regra geral, você está normalmente montando partições seguras que são suspeitas de estarem infectadas, contanto que o seu sistema não esteja configurado para executar automaticamente qualquer coisa delas (e supondo que o malware não esteja não está usando um bug nos drivers do sistema de arquivos, mas isso geralmente é uma suposição segura).

No que diz respeito à quantidade de varredura suficiente, se você tiver certeza de que o malware está presente, provavelmente será melhor retirar os dados do dispositivo e reinstalar do zero. A digitalização não é 100% confiável e só pode detectar com segurança coisas que o scanner conhece. Para a varredura genérica, eu geralmente acham que o ClamAV é confiável para varredura offline de sistemas Windows, e eu suponho que ele funcionará bem no Linux, mas nunca o usei em um sistema Linux. O rkhunter e o chkrootkit são realmente projetados para verificar sistemas em execução, não off-line (todas as suas verificações heurísticas analisam apenas o sistema ativo, portanto, eles só podem verificar se há malware conhecido).

No que diz respeito a outros sistemas operativos, deve também verificá-los, especialmente se encontrar alguma coisa. Para o espaço de troca, basta limpá-lo ( blkdiscard /dev/sda5 se estiver em um SSD, dd if=/dev/zero of=/dev/sda5 se for um disco rígido) e recriar o cabeçalho de troca. Para o lado do Windows, se você tiver o Windows inicialize e informe ao Windows Defender ou qualquer outro software antivírus que você use para executar uma verificação completa (isso verificará todas as partições).