Rootkit Hunter als 3rd-party-app

[stefan69]

Ich kann das Paket Rootkit Hunter nicht installieren. Die 3rd Party 1.6 wird laut Log sucessfull installiert.
MfG stefan69

 

[QTip]

Aktualisiere mal bitte den Paketzentruminhalt manuell, also Paketzentrum öffnen und den obigen Button "Aktualisieren" drücken. Danach nochmal versuchen. Die Paketlisten werden gecached und nicht immer automatisch aktualisiert. Habe eben grad probiert zu Installieren, alles ok.

 

[stefan69]

Ich habe noch einmal alles deinstalliert und anschließend das Paketzentrum manuell"aktualisiert". Dann habe ich 3rd. Party 1.6 neuinstalliert und gewartet bis die Dienste neu gestartet wurden. Dann noch einmal versucht RootHunter zu installieren. Das Paket konnte nicht installiert werden. .
Ich habe noch einmal ein Screenshot gemacht. Ich bekomme einfach RootHunter nicht installiert. Muss die DiskStation neugestartet werden?.

Mfg stefan69

 

[Matthieu]

Kannst du mal das Log auslesen? Auf der Kommandozeile mit "root" anmelden und "tail /var/log/messages" eingeben.

MfG Matthieu

 

[stefan69]

Hallo Matthieu

hier die Log Datei als Screenshot:

Mfg stefan69

 

[QTip]

Dir fehlt IPKG, da Rootkit Hunter noch einige weitere Module benötigt. Installationsbeschreibung steht im Wiki. Du kannst es auch mit einem fertigem Paket von http://www.synology-forum.de/showthread.html?33158-IPKG-%FCber-Paketmanager-Installieren. versuchen. Du musst dazu eine weitere Paketquelle hinzufügen, damit das Paket mit dem Namen "Bootstrap Installer" in der Liste erscheint.

Rootkit Hunter ist schon ein wenig älter, damals gab es noch nicht die Möglichkeit Meldungen für den Benutzer zu generieren. Ich habe aber vor, Rootkit Hunter in naher Zukunft neu zu coden, dann wird es auch entsprechende Meldungen geben.

 

[stefan69]

Hallo Matthieu,

so habe den Bootstrap Installer von Synology Forum installiert. Danach hat die Installation von Rootkit Hunter ohne Probleme funktioniert. Aber warum bleibt jetzt das Fenster von Rootkit Hunter weiß?. Habe mal ein Screenshot eingefügt. .
Macht eine Neuinstallation Sinn? Ist es richtig das bei Installierten Paketen geschrieben steht: Bootstrap Installer(angehalten) trotz Neustart?

Mfg stefan69

 

[stefan69]

Wirklich interessante Erkenntnisse. Wenn ich mich über GoogleChrome 31.0. an der DiskStation anmelde und Rootkit Hunter anklicke bleibt die Seit von im Bild weiß. Wenn ich über den Inernet Explorer von Windows 8.1-64 bit mich anmelde kommt die Frage: Java aktivieren? Die beantworte ich mit "Ja". Wenn ich dann Rootkit Hunter anklicke kommt die Meldung: die Webseite kann nicht angezeigt werden, Http Fehler 403. Was jetzt weiter?

Mfg stefan69

 

[QTip]

Der Bootstrap Installer kann und braucht nicht gestartet zu werden. Deaktiviere mal in der Systemsteuerung - DSM Einstellungen - Sicherheit die Option "Schutz gegen Cross-Site-Request-Forgery-Attacken verbessern". Danach vom DSM ab- und wieder anmelden. Nun sollte das Fenster nicht mehr weiss sein.

 

[stefan69]

Guten Morgen Matthieu,

das hat soweit geklappt. Danke für die Hilfe. Muss ich noch irgendwelche Einstellungen vornehmen? Kann ich die Sprache auch auch Deutsch umstellen?( im Programm unter Config. oder per Putty) Startet der Scan automatisch einmal die Woche oder muss das noch konfiguriert werden?
Einen Guten Rutsch ins Jahr 2014

Mfg stefan69

 

[stefan69]

Hallo zusammen,
vorab ein Gutes Neues Jahr 2014. Ich habe noch ein paar Fragen, wenn ich den Hacken bei enable file db updat setze ist dieser nur solange aktiviert wie ich Rootkit Hunter nichtneu starte. Ist das so richtig. Ich habe noch einmal eine Log Datei vom letzten Scan eingefügt..
Ist das so ok oder muss ich irgendetwas veranlassen , ändern? Wie kann ich den Cronjob von täglich Scan auf 1 mal die Woche ändern.
Wäre für eine Antwort sehr dankbar.

Mfg stefan 69

 

[QTip]

Frohes Neues Jahr, ich bin übrigens schon eine ganze Weile QTip der dir hier antwortet

Rootkit Hunter verwaltet eine Datenbank über im System vorhandene Dateien mit Prüfsummen. Diese Datenbank sollte nur aktualisiert werden, wenn du dir sicher bist, dass dies nicht durch ein schadhaftes Tool verursacht wurde. Jede Dateiänderung solcher Dateien taucht beim Scan als Warnung auf. Deswegen beim ersten Mal auf einem sauberem System ein DB-Update durchführen. Danach Scannen und sich die Warnungen anschauen. Warnungen kann man abschalten, wenn die entsprechende Datei in die Konfiguration mit besonderen Flags versehen wird. Man kann z.B. bestimmte Dateien in eine Whitelist eintragen, weil eine Datei beispielsweise an einem bestimmten Ort sein muss. Ich hatte hier im Thread schonmal eine aktualiserte Konfiguration für Version 1.40 hochgeladen, diese musst du dann manuell einspielen (siehe Post). Dort stehen auch weitere Hinweise zu den Logeinträgen und was getan werden müsste.

Das enable "file db update" ist wegen der oben genannten Gründe nicht automatisch aktiviert. Normalerweise scannt der Rootkit Hunter nachts allein und dieser würde mit aktiviertem "file db update" immer alle Änderungen in die DB aufnehmen und der User würde nicht bemerken, dass es etwas Verdächtiges gibt.

• neue Konfiguration einspielen
• Melde dich als root (mit Passwort vom admin) mal per Telnet oder SSH auf der DS an und installiere per IPKG die folgenden Pakete nach:
  (Einfach die Befehlszeilen kopieren und auf der DS einfügen + mit Enter ausführen)
  

  ipkg update
  ipkg install coreutils findutils file lsof binutils procps e2fsprogs

• Update DB
• Scan durchführen

Den Cronjob kannst du mit dem Paket "Cronjob editor" bearbeiten.

 

[stefan69]

Hallo QTip,

ich habe die oben genannten Schritte ausgeführt. Sieht bis hier hin ganz gut aus. Werde am 02.01.14 mal den automatischen Scanlauf abwarten. Für diese Unterstützung bin ich Dir auch sehr Dankbar. Ich habe so zum ersten mal Kontakt mit Linux und ich muss sagen, Deine Anleitungen sind sehr gut-perfekt erklärt. So können auch Neulinge wie ich die Schritte nachvollziehen und ich sehe den Erfolg wenn etwas funktioniert. Super ;Moderator und auch Forum hier. Danke schön an alle.

Mfg stefan69

 

[stefan69]

Guten Tag QTip,

wie kann ich die config. Datei über Putty direkt einspielen bzw. in welches Verzeichniss muss dies kopiert werden. Alles andere hat geklappt. Der geänderte CronJob wird trotzdem um 00:30 ausgeführt obwohl ich diesen auf Jeden Donnerstag eingestellt habe.

Mfg stefan69

 

[QTip]

Guten Tag QTip,

wie kann ich die config. Datei über Putty direkt einspielen bzw. in welches Verzeichniss muss dies kopiert werden. Alles andere hat geklappt.

Du benutzt entweder WinSCP mit den gleichen Anmeldedaten wie bei Putty oder kopierst die Config in einen freigebenen Ordner, loggst dich auf der DS ein und kopierst sie an die richtige Stelle. WinSCP ist ein Dateimanager für SSH/SCP.

Der Pfad zur Config:

/usr/syno/synoman/webman/3rdparty/rkhunter/rkhunter.conf

Der geänderte CronJob wird trotzdem um 00:30 ausgeführt obwohl ich diesen auf Jeden Donnerstag eingestellt habe.

Mfg stefan69

Mit was hast du den Cronjob editiert? Beim Cronjob editor muss nach deinen Anpassungen im unteren Ausgabefenster "crond: crond (busybox 1.16.1) started, log level 8" stehen, ansonsten wurde der Cron Dienst nicht restartet und hat deine Änderungen nicht übernommen. Kontrollierte nochmal deine Eingaben und wähle die Checkbox neben dem Eintrag. Anschließend den Button "Enable/Disable & Restart" einmal drücken, die Checkbox wieder abwählen und nochmal den Button "Enable/Disable & Restart" drücken.

Sollte es immer noch nicht funktionieren, dann melde dich auf der DS an und gebe folgenden Befehl ein:

cat /etc/crontab

Das Ergebnis bitte hier posten.

 

[stefan69]

Danke für die Antwort QTip,
jetzt habe ich WinSCP installiert und wo kopiere ich die config. Datei hin?
Hier noch einmal ein Bild:


Mfg Stefan69

 

[QTip]

Oben in dem grauen Bereich steht "root" drin. Doppelklick auf ".." und du kommst eine Ebene höher in das Wurzel-Verzeichnis "/". Von da klickst du dich weiter zu dem von mir angegeben Pfad. Dann Drag & Drop die Datei in das Fenster und überschreibe die alte Datei.

 

[stefan69]

Danke schön.

Ich habe jetzt die Schritte für RKHunter ausgeführt, soweit sieht alles erst einmal gut aus.Bei CronJob Editor habe ich die Schritte auch durchgeführt und mal schauen was heute Nacht passiert. Allerdings habe ich in der LogDatei eine Fehlermeldung bezüglich Email Versand gesehen die ich mir nicht erklären kann. Benachrichtigungen per Email funktionieren auf der DS. Schau Dir mal den Fehler an:


Mfg stefan69

 

[QTip]

Das Passwort für die Emailbenachrichtigung war damals noch unverschlüsselt und in einer anderen Variable abgelegt. Der Rootkit Hunter kann mit dem leeren Passwort keine Emails mehr senden.

 

[stefan69]

Hallo QTip,

kann man das ändern oder ist das erst für die neue Version geplant? Noch einmal Danke schön für die Super Arbeit die Du hier leistest.

Mfg stefan69