Maldet Kurulumu ve Kullanımı

Linux Malware Detect (kısa adıyla maldet), Linux sunucularda zararlı yazılımları bulan ücretsiz bir tarayıcıdır. Özellikle web sitelerine yüklenmiş arka kapı (backdoor) ve zararlı betikleri bulmak için kullanılır. AlmaLinux / Rocky Linux 8, 9, 10, Debian ve Ubuntu'da çalışır; cPanel, Plesk ve DirectAdmin gibi panelleri tanır.

Kurulum

cd /usr/local/src
wget https://www.rfxn.com/downloads/maldetect-current.tar.gz
tar zxvf maldetect-current.tar.gz
cd maldetect-*/
./install.sh

Kurulum betiği şunları yapar:

• Programı /usr/local/maldetect dizinine kurar ve maldet komutunu ekler,
• Her gün çalışan bir görev (/etc/cron.daily/maldet) ekler: imzaları günceller ve son bir günde değişen site dosyalarını tarar,
• Sunucuda ClamAV kuruluysa maldet imzalarını ClamAV'a da tanıtır.

Önceden kurulu bir sürüm varsa yedeklenir; aynı komutlarla güncelleyebilirsiniz.

Tarama

Bir dizinin tamamını taramak için (örnekte cPanel'deki bütün sitelerin dosyaları; ? her kullanıcıyı karşılar):

maldet -a /home/?/public_html

Plesk sunucuda siteler /var/www/vhosts/ altındadır:

maldet -a /var/www/vhosts/?/

Yalnızca son günlerde değişen dosyaları taramak daha hızlıdır. Son 2 günde değişen dosyalar için:

maldet -r /home/?/public_html 2

Tarama bitince ekranda bir tarama numarası (SCANID) ve kaç zararlı dosya bulunduğu yazar.

Sonuçlar ve karantina

maldet --report SCANID

Raporda bulunan dosyaları ve hangi imzayla eşleştiklerini görürsünüz. Bulunan dosyaları karantinaya almak (çalışamaz hâle getirip ayrı bir yere taşımak) için:

maldet -q SCANID

Yanlışlıkla karantinaya alınan bir dosyayı geri yüklemek için maldet -s SCANID kullanabilirsiniz. Zararlı bulunan dosyaları silmeden önce raporu inceleyin; bazen bir eklentinin meşru dosyası da eşleşebilir.

Ayarlar

Ayar dosyası /usr/local/maldetect/conf.maldet'tir; her ayarın açıklaması dosyanın içinde yazar. Sık kullanılanlar:

• quarantine_hits=1: bulunan dosyalar taramada kendiliğinden karantinaya alınır (varsayılan 0, yalnızca raporlanır).
• email_alert=1 ve email_addr: tarama sonuçları e-postayla gönderilir.

Ayarı dosyayı değiştirmeden tek bir tarama için de verebilirsiniz:

maldet -co quarantine_hits=1 -a /home/?/public_html

Güncelleme

maldet -u
maldet -d

-u zararlı yazılım imzalarını, -d programın kendisini günceller. Günlük görev bunları zaten yapar.

Sunucu yükü

Tarama diski yoğun kullanır. maldet bu yüzden taramayı varsayılan olarak düşük disk ve işlemci önceliğiyle çalıştırır; yine de çok dosyalı sunucularda büyük taramaları yoğun olmayan saatlerde yapmanızı öneririz.

Bu rehberdeki bilgiler resmî belgelerden alınmıştır: Linux Malware Detect (GitHub), R-fx Networks.