Se il tuo Mac si comporta in modo strano e sospetti un rootkit, dovrai metterti al lavoro scaricando e scansionando con diversi strumenti. Vale la pena notare che potresti avere un rootkit installato e nemmeno saperlo.

Il principale fattore distintivo che rende speciale un rootkit è che fornisce a qualcuno il controllo remoto del tuo computer a tua insaputa. Una volta che qualcuno ha accesso al tuo computer, può semplicemente spiarti o apportare le modifiche che desidera al tuo computer. Il motivo per cui devi provare diversi scanner è che i rootkit sono notoriamente difficili da rilevare.

Per quanto mi riguarda, se ho anche solo il sospetto che ci sia un rootkit installato su un computer client, eseguo immediatamente il backup dei dati ed eseguo un'installazione pulita del sistema operativo. Questo è ovviamente più facile a dirsi che a farsi e non è qualcosa che consiglio a tutti di fare. Se non sei sicuro di avere un rootkit, è meglio usare i seguenti strumenti nella speranza di scoprire il rootkit. Se non viene visualizzato nulla utilizzando più strumenti, probabilmente sei a posto.

Se viene trovato un rootkit, sta a te decidere se la rimozione ha avuto successo o se dovresti semplicemente iniziare da una tabula rasa. Vale anche la pena ricordare che poiché OS X è basato su UNIX , molti scanner utilizzano la riga di comando e richiedono un bel po' di know-how tecnico. Poiché questo blog è rivolto ai principianti, cercherò di attenermi agli strumenti più semplici che puoi utilizzare per rilevare i rootkit sul tuo Mac .

Malwarebyte per Mac

Il programma più intuitivo che puoi utilizzare per rimuovere eventuali rootkit dal tuo Mac è Malwarebytes per Mac^{(Malwarebytes for Mac)} . Non è solo per i rootkit, ma anche per qualsiasi tipo di virus o malware per Mac .

Puoi scaricare la versione di prova gratuita e utilizzarla per un massimo di 30 giorni. Il costo è di $ 40 se desideri acquistare il programma e ottenere la protezione in tempo reale. È il programma più semplice da usare, ma probabilmente non troverà un rootkit davvero difficile da rilevare, quindi se puoi dedicare del tempo a utilizzare gli strumenti della riga di comando di seguito, avrai un'idea molto migliore se o non hai un rootkit.

Cacciatore di rootkit

Rootkit Hunter è il mio strumento preferito da utilizzare su Mac per trovare i rootkit. È relativamente facile da usare e l'output è molto facile da capire. Innanzitutto, vai alla pagina di download^{(download page)} e fai clic sul pulsante di download verde.

Vai avanti e fai doppio clic sul file .tar.gz per decomprimerlo. Quindi apri una finestra di Terminale^(Terminal) e vai a quella directory usando il comando CD.

Una volta lì, devi eseguire lo script installer.sh. Per fare ciò, utilizzare il seguente comando:

sudo ./installer.sh – install

Ti verrà chiesto di inserire la tua password per eseguire lo script.

Se tutto è andato bene, dovresti vedere alcune righe sull'avvio dell'installazione e sulla creazione delle directory. Alla fine, dovrebbe dire Installazione completata^{( Installation Complete)} .

Prima di eseguire lo scanner rootkit effettivo, è necessario aggiornare il file delle proprietà. Per fare ciò, è necessario digitare il seguente comando:

sudo rkhunter – propupd

Dovresti ricevere un breve messaggio che indica che questo processo ha funzionato. Ora puoi finalmente eseguire il controllo del rootkit effettivo. Per farlo, usa il seguente comando:

sudo rkhunter – check

La prima cosa che farà è controllare i comandi di sistema. Per la maggior parte, vogliamo gli OK verdi qui e il minor numero possibile di ^(OKs)avvisi^(Warnings) rossi . Una volta completato, premi Invio^(Enter) e inizierà a verificare la presenza di rootkit.

Qui vuoi assicurarti che tutti dicano Non trovato^{(Not Found)} . Se qualcosa viene visualizzato in rosso qui, hai sicuramente installato un rootkit. Infine, eseguirà alcuni controlli sul file system, sull'host locale e sulla rete. Alla fine, ti darà un bel riassunto dei risultati.

Se desideri maggiori dettagli sugli avvisi, digita cd /var/log e quindi digita sudo cat rkhunter.log per vedere l'intero file di registro e le spiegazioni per gli avvisi. Non devi preoccuparti troppo dei comandi o dei messaggi dei file di avvio poiché normalmente sono OK. La cosa principale è che non è stato trovato nulla durante il controllo dei rootkit.

chkrootkit

chkrootkit è uno strumento gratuito che verificherà localmente i segni di un rootkit. Attualmente controlla circa 69 rootkit diversi. Vai al sito, clicca su Download in alto e poi clicca su chkrootkit latest Source tarball per scaricare il file tar.gz.

Vai alla cartella Download sul tuo ^(Downloads)Mac e fai doppio clic sul file. Questo lo decomprimerà^{(uncompress it)} e creerà una cartella nel Finder chiamata chkrootkit-0.XX . Ora apri una finestra di Terminale^(Terminal) e vai alla directory non compressa.

Fondamentalmente, fai il cd nella directory Downloads e poi nella cartella chkrootkit. Una volta lì, digita il comando per creare il programma:

sudo make sense

Non è necessario utilizzare il comando sudo qui, ma poiché richiede i privilegi di root per l'esecuzione, l'ho incluso. Prima che il comando funzioni, potresti ricevere un messaggio che dice che gli strumenti di sviluppo devono essere installati per utilizzare il comando make .

Vai avanti e fai clic su Installa^(Install) per scaricare e installare i comandi. Una volta completato, eseguire nuovamente il comando. Potresti vedere un sacco di avvisi, ecc., ma ignorali. Infine, digiterai il seguente comando per eseguire il programma:

sudo ./chkrootkit

Dovresti vedere un output come quello mostrato di seguito:

Verrà visualizzato uno dei tre messaggi di output: non infetto^{( not infected)} , non testato^{(not tested)} e non trovato^{(not found)} . Non infetto significa che non ha trovato alcuna firma del rootkit, non trovato significa che il comando da testare non è disponibile e non testato significa che il test non è stato eseguito per vari motivi.

Si spera^(Hopefully) che tutto esca non infetto, ma se vedi qualche infezione, allora la tua macchina è stata compromessa^{(machine has been compromised)} . Lo sviluppatore del programma scrive nel file README che dovresti sostanzialmente reinstallare il sistema operativo per sbarazzarti del rootkit, che è fondamentalmente quello che suggerisco anche io.

Rilevatore di rootkit ESET

ESET Rootkit Detector è un altro programma gratuito molto più facile da usare, ma lo svantaggio principale è che funziona solo su OS X 10.6 , 10.7 e 10.8. Considerando che OS X è quasi alla 10.13 in questo momento, questo programma non sarà utile per la maggior parte delle persone.

Sfortunatamente, non ci sono molti programmi là fuori che controllano i rootkit su Mac . Ce ne sono molti di più per Windows ed è comprensibile poiché la base di utenti di Windows è molto più ampia. Tuttavia, usando gli strumenti di cui sopra, dovresti avere un'idea decente se un rootkit è installato o meno sulla tua macchina. Divertiti!

How to Check Your Mac for Rootkits

If your Mac is acting strangely and you suspect a rootkit, then yоu’ll need to get to work downloading and scanning with several different tools. It’s worth noting that you could hаve a rootkit installed and not even know it.

The main distinguishing factor that makes a rootkit special is that it gives someone remote administrator control over your computer without your knowledge. Once someone has access to your computer, they can simply spy on you or they can make any change they want to your computer. The reason why you have to try several different scanners is that rootkits are notoriously hard to detect.

For me, if I even suspect there is a rootkit installed on a client computer, I immediately back up the data and perform a clean install of the operating system. This is obviously easier said than done and it’s not something I recommend everyone do. If you’re not sure if you have a rootkit, it’s best to use the following tools in the hopes of discovering the rootkit. If nothing comes up using multiple tools, you’re probably OK.

If a rootkit is found, it’s up to you to decide whether the removal was successful or whether you should just start from a clean slate. It’s also worth mentioning that since OS X is based on UNIX, a lot of the scanners use the command line and require quite a bit of technical know-how. Since this blog is geared towards beginners, I’m going to try to stick to the easiest tools that you can use to detect rootkits on your Mac.

Malwarebytes for Mac

The most user-friendly program you can use to remove any rootkits from your Mac is Malwarebytes for Mac. It’s not just for rootkits, but also any kind of Mac viruses or malware.

You can download the free trial and use it for up to 30 days. The cost is $40 if you want to purchase the program and get real-time protection. It’s the easiest program to use, but it’s also probably not going to find a really hard-to-detect rootkit, so if you can take the time to use the command line tools below, you’ll get a much better idea of whether or not you have a rootkit.

Rootkit Hunter

Rootkit Hunter is my favorite tool to use on the Mac for finding rootkits. It’s relatively easy to use and the output is very easy to understand. Firstly, go to the download page and click on the green download button.

Go ahead and double-click on the .tar.gz file to unpack it. Then open a Terminal window and navigate to that directory using the CD command.

Once there, you need to run the installer.sh script. To do this, use the following command:

sudo ./installer.sh – install

You’ll be prompted to enter your password to run the script.

If all went well, you should see some lines about the installation starting and directories being created. At the end, it should say Installation Complete.

Before you run the actual rootkit scanner, you have to update the properties file. To do this, you need to type the following command:

sudo rkhunter – propupd

You should get a short message indicating that this process worked. Now you can finally run the actual rootkit check. To do that, use the following command:

sudo rkhunter – check

The first thing it’ll do is check the system commands. For the most part, we want green OKs here and as few red Warnings as possible. Once that is complete, you will press Enter and it’ll start checking for rootkits.

Here you want to ensure all of them say Not Found. If anything comes up red here, you definitely have a rootkit installed. Lastly, it’ll do some checks on the file system, local host, and network. At the very end, it’ll give you a nice summary of the results.

If you want more details about the warnings, type in cd /var/log and then type in sudo cat rkhunter.log to see the entire log file and the explanations for the warnings. You don’t have to worry too much about the commands or startup files messages as those are normally OK. The main thing is that nothing was found when checking for rootkits.

chkrootkit

chkrootkit is a free tool that will locally check for signs of a rootkit. It currently checks for about 69 different rootkits. Go to the site, click on Download at the top and then click on chkrootkit latest Source tarball to download the tar.gz file.

Go to the Downloads folder on your Mac and double-click on the file. This will uncompress it and create a folder in Finder called chkrootkit-0.XX. Now open a Terminal window and navigate to the uncompressed directory.

Basically, you cd into the Downloads directory and then into the chkrootkit folder. Once there, you type in the command to make the program:

sudo make sense

You don’t have to use the sudo command here, but since it requires root privileges to run, I have included it. Before the command will work, you might get a message saying the developer tools need to be installed in order to use the make command.

Go ahead and click on Install to download and install the commands. Once complete, run the command again. You may see a bunch of warnings, etc., but just ignore those. Lastly, you will type the following command to run the program:

sudo ./chkrootkit

You should see some output like what is shown below:

You’ll see one of three output messages: not infected, not tested and not found. Not infected means it didn’t find any rootkit signature, not found means the command to be tested is not available and not tested means the test was not performed due to various reasons.

Hopefully, everything comes out not infected, but if you do see any infection, then your machine has been compromised. The developer of the program writes in the README file that you should basically reinstall the OS in order to get rid of the rootkit, which is basically what I also suggest.

ESET Rootkit Detector

ESET Rootkit Detector is another free program that is much easier to use, but the main downside is that it only works on OS X 10.6, 10.7 and 10.8. Considering OS X is almost to 10.13 right now, this program won’t be helpful for most people.

Unfortunately, there aren’t many programs out there that check for rootkits on Mac. There are a lot more for Windows and that’s understandable since the Windows user base is so much larger. However, using the tools above, you should hopefully get a decent idea of whether or not a rootkit is installed on your machine. Enjoy!

Related posts

• Come impedire al tuo Mac di dormire

• Come rimappare i tasti Fn sul tuo Mac

• Alcuni tasti sul tuo Mac non funzionano correttamente?

• 5 modi per forzare l'uscita dalle app sul tuo Mac

• Come creare collegamenti simbolici sul tuo Mac

• Come rinominare i file in blocco sul tuo Mac

• Cos'è l'altro spazio di archiviazione su Mac e come ripulirlo

• Come risolvere Google Drive che non si sincronizza su Mac

• Come rendere più difficile per qualcuno hackerare il tuo Mac

• Come risolvere il trascinamento della selezione che non funziona su Mac

• Come abilitare e utilizzare la modalità "Immagine nell'immagine" sul tuo Mac

• Esegui il backup del tuo Mac utilizzando Time Machine

• APFS vs Mac OS esteso: quale formato del disco Mac è il migliore?

• Visualizza le password Wi-Fi (WPA, WEP) salvate su OS X

• Come modificare il file host su Mac

• Come stampare in bianco e nero su Mac

• 20 suggerimenti per ottenere il massimo dal Finder su Mac

• 15 suggerimenti per prolungare la durata della batteria su Mac

• Come creare un'immagine disco crittografata in OS X

• Mac Firewall: come abilitarlo e configurarlo