Cómo comprobar si hay rootkits en tu Mac

Si su Mac está actuando de manera extraña y sospecha que se trata de un rootkit, entonces deberá comenzar a descargar y escanear con varias herramientas diferentes. Vale la pena señalar que podría tener un rootkit instalado y ni siquiera saberlo.

El principal factor distintivo que hace que un rootkit sea especial es que le da a un administrador remoto el control de su computadora sin su conocimiento. Una vez que alguien tiene acceso a su computadora, simplemente puede espiarlo o puede hacer cualquier cambio que desee en su computadora. La razón por la que tiene que probar varios escáneres diferentes es que los rootkits son muy difíciles de detectar.

Para mí, si sospecho que hay un rootkit instalado en una computadora cliente, inmediatamente hago una copia de seguridad de los datos y realizo una instalación limpia del sistema operativo. Obviamente, esto es más fácil decirlo que hacerlo y no es algo que recomiendo que todos hagan. Si no está seguro de tener un rootkit, es mejor usar las siguientes herramientas con la esperanza de descubrir el rootkit. Si no aparece nada usando varias herramientas, probablemente esté bien.

Si se encuentra un rootkit, depende de usted decidir si la eliminación fue exitosa o si debe comenzar desde cero. También vale la pena mencionar que dado que OS X se basa en UNIX , muchos de los escáneres usan la línea de comandos y requieren bastante conocimiento técnico. Dado que este blog está dirigido a principiantes, intentaré apegarme a las herramientas más fáciles que puede usar para detectar rootkits en su Mac .

Malwarebytes para Mac

El programa más fácil de usar que puede usar para eliminar cualquier rootkit de su Mac es Malwarebytes para Mac^{(Malwarebytes for Mac)} . No es solo para rootkits, sino también para cualquier tipo de virus o malware de Mac .

Puede descargar la versión de prueba gratuita y utilizarla durante un máximo de 30 días. El costo es de $40 si desea comprar el programa y obtener protección en tiempo real. Es el programa más fácil de usar, pero probablemente tampoco encontrará un rootkit realmente difícil de detectar, por lo que si puede tomarse el tiempo para usar las herramientas de línea de comandos a continuación, obtendrá una mejor idea de si o No tienes un rootkit.

Cazador de rootkits

Rootkit Hunter es mi herramienta favorita para usar en Mac para encontrar rootkits. Es relativamente fácil de usar y la salida es muy fácil de entender. En primer lugar, vaya a la página de descarga^{(download page)} y haga clic en el botón verde de descarga.

Continúe y haga doble clic en el archivo .tar.gz para descomprimirlo. Luego abra una ventana de Terminal y navegue a ese directorio usando el comando CD.

Una vez allí, debe ejecutar el script installer.sh. Para hacer esto, use el siguiente comando:

sudo ./installer.sh – install

Se le pedirá que ingrese su contraseña para ejecutar el script.

Si todo salió bien, debería ver algunas líneas sobre el inicio de la instalación y la creación de directorios. Al final, debería decir Instalación completa^{( Installation Complete)} .

Antes de ejecutar el detector de rootkits, debe actualizar el archivo de propiedades. Para hacer esto, debe escribir el siguiente comando:

sudo rkhunter – propupd

Debería recibir un mensaje corto que indica que este proceso funcionó. Ahora finalmente puede ejecutar la verificación de rootkit real. Para hacer eso, use el siguiente comando:

sudo rkhunter – check

Lo primero que hará será comprobar los comandos del sistema. En su mayor parte, queremos OK verdes aquí y la menor cantidad posible de ^(OKs)Advertencias^(Warnings) rojas . Una vez que esté completo, presionará Enter y comenzará a buscar rootkits.

Aquí quiere asegurarse de que todos digan No encontrado^{(Not Found)} . Si aparece algo rojo aquí, definitivamente tiene un rootkit instalado. Por último, realizará algunas comprobaciones en el sistema de archivos, el host local y la red. Al final, le dará un buen resumen de los resultados.

Si desea más detalles sobre las advertencias, escriba cd /var/log y luego escriba sudo cat rkhunter.log para ver el archivo de registro completo y las explicaciones de las advertencias. No tiene que preocuparse demasiado por los comandos o los mensajes de los archivos de inicio, ya que normalmente están bien. Lo principal es que no se encontró nada al buscar rootkits.

chkrootkit

chkrootkit es una herramienta gratuita que buscará localmente signos de un rootkit. Actualmente busca alrededor de 69 rootkits diferentes. Vaya al sitio, haga clic en Descargar^(Download) en la parte superior y luego haga clic en chkrootkit último código fuente^{(chkrootkit latest Source tarball)} para descargar el archivo tar.gz.

Vaya a la carpeta Descargas en su ^(Downloads)Mac y haga doble clic en el archivo. Esto lo descomprimirá^{(uncompress it)} y creará una carpeta en Finder llamada chkrootkit-0.XX . Ahora abra una ventana de Terminal y navegue hasta el directorio sin comprimir.

Básicamente, ingresa al directorio de descargas^(Downloads) y luego a la carpeta chkrootkit. Una vez allí, escribes el comando para hacer el programa:

sudo make sense

No tiene que usar el comando sudo aquí, pero dado que requiere privilegios de root para ejecutarse, lo he incluido. Antes de que el comando funcione, es posible que reciba un mensaje que indique que las herramientas de desarrollo deben instalarse para poder usar el comando make .

Continúe y haga clic en Instalar^(Install) para descargar e instalar los comandos. Una vez completado, ejecute el comando nuevamente. Es posible que vea un montón de advertencias, etc., pero simplemente ignórelas. Por último, escribirá el siguiente comando para ejecutar el programa:

sudo ./chkrootkit

Debería ver un resultado como el que se muestra a continuación:

Verá uno de los tres mensajes de salida: no infectado^{( not infected)} , no probado^{(not tested)} y no encontrado^{(not found)} . No infectado significa que no encontró ninguna firma de rootkit, no encontrado significa que el comando a probar no está disponible y no probado significa que la prueba no se realizó por varias razones.

Con suerte^(Hopefully) , todo saldrá sin estar infectado, pero si ve alguna infección, entonces su máquina se ha visto comprometida^{(machine has been compromised)} . El desarrollador del programa escribe en el archivo README que básicamente deberías reinstalar el sistema operativo para deshacerte del rootkit, que es básicamente lo que también sugiero.

Detector de rootkits de ESET

ESET Rootkit Detector es otro programa gratuito mucho más fácil de usar, pero el principal inconveniente es que solo funciona en OS X 10.6 , 10.7 y 10.8. Teniendo en cuenta que OS X está casi en 10.13 en este momento, este programa no será útil para la mayoría de las personas.

Desafortunadamente, no hay muchos programas que busquen rootkits en Mac . Hay muchos más para Windows y eso es comprensible ya que la base de usuarios de Windows es mucho más grande. Sin embargo, al usar las herramientas anteriores, es de esperar que tenga una idea decente de si un rootkit está instalado o no en su máquina. ¡Disfrutar!

If your Mac is acting strangely and you suspect a rootkit, then you’ll need to get to work downloading and scanning with several different tools. It’s wоrth noting that you could have a rootkit installed and not even know it.

The main distinguishing factor that makes a rootkit special is that it gives someone remote administrator control over your computer without your knowledge. Once someone has access to your computer, they can simply spy on you or they can make any change they want to your computer. The reason why you have to try several different scanners is that rootkits are notoriously hard to detect.

For me, if I even suspect there is a rootkit installed on a client computer, I immediately back up the data and perform a clean install of the operating system. This is obviously easier said than done and it’s not something I recommend everyone do. If you’re not sure if you have a rootkit, it’s best to use the following tools in the hopes of discovering the rootkit. If nothing comes up using multiple tools, you’re probably OK.

If a rootkit is found, it’s up to you to decide whether the removal was successful or whether you should just start from a clean slate. It’s also worth mentioning that since OS X is based on UNIX, a lot of the scanners use the command line and require quite a bit of technical know-how. Since this blog is geared towards beginners, I’m going to try to stick to the easiest tools that you can use to detect rootkits on your Mac.

Malwarebytes for Mac

The most user-friendly program you can use to remove any rootkits from your Mac is Malwarebytes for Mac. It’s not just for rootkits, but also any kind of Mac viruses or malware.

You can download the free trial and use it for up to 30 days. The cost is $40 if you want to purchase the program and get real-time protection. It’s the easiest program to use, but it’s also probably not going to find a really hard-to-detect rootkit, so if you can take the time to use the command line tools below, you’ll get a much better idea of whether or not you have a rootkit.

Rootkit Hunter

Rootkit Hunter is my favorite tool to use on the Mac for finding rootkits. It’s relatively easy to use and the output is very easy to understand. Firstly, go to the download page and click on the green download button.

Go ahead and double-click on the .tar.gz file to unpack it. Then open a Terminal window and navigate to that directory using the CD command.

Once there, you need to run the installer.sh script. To do this, use the following command:

sudo ./installer.sh – install

You’ll be prompted to enter your password to run the script.

If all went well, you should see some lines about the installation starting and directories being created. At the end, it should say Installation Complete.

Before you run the actual rootkit scanner, you have to update the properties file. To do this, you need to type the following command:

sudo rkhunter – propupd

You should get a short message indicating that this process worked. Now you can finally run the actual rootkit check. To do that, use the following command:

sudo rkhunter – check

The first thing it’ll do is check the system commands. For the most part, we want green OKs here and as few red Warnings as possible. Once that is complete, you will press Enter and it’ll start checking for rootkits.

Here you want to ensure all of them say Not Found. If anything comes up red here, you definitely have a rootkit installed. Lastly, it’ll do some checks on the file system, local host, and network. At the very end, it’ll give you a nice summary of the results.

If you want more details about the warnings, type in cd /var/log and then type in sudo cat rkhunter.log to see the entire log file and the explanations for the warnings. You don’t have to worry too much about the commands or startup files messages as those are normally OK. The main thing is that nothing was found when checking for rootkits.

chkrootkit

chkrootkit is a free tool that will locally check for signs of a rootkit. It currently checks for about 69 different rootkits. Go to the site, click on Download at the top and then click on chkrootkit latest Source tarball to download the tar.gz file.

Go to the Downloads folder on your Mac and double-click on the file. This will uncompress it and create a folder in Finder called chkrootkit-0.XX. Now open a Terminal window and navigate to the uncompressed directory.

Basically, you cd into the Downloads directory and then into the chkrootkit folder. Once there, you type in the command to make the program:

sudo make sense

You don’t have to use the sudo command here, but since it requires root privileges to run, I have included it. Before the command will work, you might get a message saying the developer tools need to be installed in order to use the make command.

Go ahead and click on Install to download and install the commands. Once complete, run the command again. You may see a bunch of warnings, etc., but just ignore those. Lastly, you will type the following command to run the program:

sudo ./chkrootkit

You should see some output like what is shown below:

You’ll see one of three output messages: not infected, not tested and not found. Not infected means it didn’t find any rootkit signature, not found means the command to be tested is not available and not tested means the test was not performed due to various reasons.

Hopefully, everything comes out not infected, but if you do see any infection, then your machine has been compromised. The developer of the program writes in the README file that you should basically reinstall the OS in order to get rid of the rootkit, which is basically what I also suggest.

ESET Rootkit Detector

ESET Rootkit Detector is another free program that is much easier to use, but the main downside is that it only works on OS X 10.6, 10.7 and 10.8. Considering OS X is almost to 10.13 right now, this program won’t be helpful for most people.

Unfortunately, there aren’t many programs out there that check for rootkits on Mac. There are a lot more for Windows and that’s understandable since the Windows user base is so much larger. However, using the tools above, you should hopefully get a decent idea of whether or not a rootkit is installed on your machine. Enjoy!

Rate this post