chkrootkit

Check Rootkit (chkrootkit)
Es un script para sistemas UNIX y GNU/Linux que realiza un análisis rápido en busca de signos y cambios en ciertas configuraciones del sistema que indiquen la presencia de rootkits.

Para ejecutar chkrootkit se requieren permisos de superusuario (root).

Para ver la sintaxis completa del comando chkrootkit pincha aquí. Es un enlace a la página Man de chkrootkit.
 
Realizar un escaneo estándar
Como puede verse en la página man de chkrootkit, este no dispone de muchas opciones de escaneo, lo más útil es hacer un escaneo estándar. El análisis irá mostrando por pantalla los diferentes archivos analizados. Para realizar un escaneo estándar ejecutar el siguiente comando:

$ sudo chkrootkit

 
Realizar un escaneo mostrando solo las detecciones y avisos o alertas
La salida de chkrootkit da mucha información. Para que sea más fácil encontrar las detecciones y los avisos o las alertas, podemos utilizar el parámetro -q mediante el cual, chkrootkit mostrará por pantalla solamente las detecciones y los avisos o las alertas.

$ sudo chkrootkit -q

 
Enviar la salida de chrootkit a unfichero de log
También podemos enviar la salida de chkrootkit a un fichero de log e incluso hacer uso de utilidades como grep para filtrar la información de salida. Un ejemplo de envío de la salida de chkrootkit a un fichero log podría ser el siguiente:

$ sudo chkrootkit | grep INFECTED > /ruta/al/archivo/log/Chkrootkit-$(date +%Y-%m-%d).txt

Con esta orden mandaremos al archivo de log solo las salidas en las que aparezcan la palabra INFECTED y añadiremos al nombre de archivo la fecha en que se generó.