ルートキット検出ツールの比較

# Rootkit 検出ツール
Rootkit の主な検出ツールとして以下のものがある。

* [Rootkit Hunter (rkhunter)](http://qiita.com/bezeklik/items/bc7affef8afe7c63f2ce)
* [chkrootkit](http://qiita.com/bezeklik/items/7964ce67f1a1363b694e)
* [OSSEC](http://qiita.com/bezeklik/items/2143c02f1432d90f5c38) (Rootcheck)

OSSEC は HIDS だが Rootcheck という Rootkit 検出機能を有している。
かつて [Samhain](http://qiita.com/bezeklik/items/6b7fb75f1a37b0fc41a2) も Rootkit 検出機能を実装していたが、時代に合わなくなったとして 4.0 時点で廃止された。[^samhain]

[^samhain]: "This option has been removed as of samhain 4.0 because it has been obsoleted by modern kernel developments." - [10. Detecting Kernel rootkits](http://www.la-samhna.de/samhain/manual/kerneldef.html)

# 比較表
ドキュメントやコマンドの情報を元に検出可能な Rootkit の対応表を作成した。
単純な対応数では Rootkit Hunter が 72 で最も多く、次いで chkrootkit が 67、OSSEC の Rootcheck が 60 となっている。

| ルートキット | rkhunter | chkrootkit | OSSEC | 備考 |
|:--|:-:|:-:|:-:|---|
| 55808 Trojan - Variant A | ○ | ○ | ○ |
| ADM Worm                 | ○ | × | × | [^adm] |
| Adore Rootkit            | ○ | ○ | ○ |
| Adore Worm               | × | ○ | ○ |
| AjaKit Rootkit           | ○ | ○ | ○ |
| Ambient (ark) Rootkit    | ○ | ○ | ○ |
| Anonoying rootkit        | × | ○ | ○ |
| aPa Kit                  | ○ | × | ○ |
| Apache Worm              | ○ | × | × |
| Aquatica rootkit         | × | ○ | × |
| Backdoors.linux.Mokes.a  | × | ○ | × |
| Balaur Rootkit           | ○ | × | × | Red Hat 6.1 [^balaur] |
| Bash door                | × | × | ○ |
| BeastKit Rootkit         | ○ | × | ○ | Red Hat 7.2 [^beastkit] |
| BMBL rootkit             | × | × | ○ |
| beX2 Rootkit             | ○ | × | × |
| BOBKit Rootkit           | ○ | ○ | ○ |
| cb Rootkit               | ○ | × | × |
| cback worm               | × | × | ○ |
| CiNIK Worm (Slapper.B variant) | ○ | × | × |
| Danny-Boy's Abuse Kit    | ○ | × | × |
| Devil RootKit            | ○ | × | × |
| Dica-Kit Rootkit         | ○ | × | × |
| Dreams Rootkit           | ○ | × | × |
| dsc-rootkit              | × | ○ | × |
| Duarawkz Rootkit         | ○ | ○ | × |
| Ducoci rootkit           | × | ○ | × |
| Enye LKM                 | ○ | ○ | ○ |
| ESRK rootkit             | × | ○ | ○ |
| FreeBSD rootkit          | × | ○ | × |
| Flea Linux Rootkit       | ○ | × | × |
| Fu Rootkit               | ○ | ○ | ○ |
| Fuck`it Rootkit          | ○ | × | × |
| GasKit Rootkit           | ○ | × | × |
| George                   | × | ○ | × |
| Gold2 rootkit            | × | ○ | × |
| Heroin LKM               | ○ | × | × |
| Hidrootkit               | × | ○ | ○ |
| HjC Kit                  | ○ | × | × |
| ignoKit Rootkit          | ○ | × | × |
| Illogic rootkit          | × | ○ | ○ |
| IntoXonia-NG Rootkit     | ○ | × | × |
| Irix Rootkit             | ○ | × | × |
| Jynx Rootkit             | ○ | × | × |
| KBeast Rootkit           | ○ | × | × |
| Kenga3 rootkit           | × | ○ | ○ |
| kenny-rk                 | × | ○ | × |
| Kitko Rootkit            | ○ | × | × |
| Knark Rootkit            | ○ | ○ | ○ |
| ld-linuxv.so Rootkit     | ○ | × | × |
| LDP Worm                 | × | × | ○ |
| Linux Rootkit 64Bit      | × | ○ | × |
| Linux.Xor.DDoS Malware   | × | ○ | × |
| Li0n Worm                | ○ | ○ | ○ |
| Lockit / LJK2 Rootkit    | ○ | ○ | ○ |
| LPD Worm                 | × | ○ | × |
| lrk3, lrk4, lrk5, lrk6 (and variants) | × | ○ | ○ |
| Lupper.Worm              | × | ○ | × |
| Madalin rootkit          | × | ○ | ○ |
| Maniac-RK                | × | ○ | ○ |
| MithRa's Rootkit         | × | ○ | ○ |
| Monkit                   | × | ○ | ○ |
| Mood-NT Rootkit          | ○ | × | × |
| MRK Rootkit              | ○ | × | × |
| Mumblehard backdoor/botnet | × | ○ | × |
| Ni0 Rootkit              | ○ | × | × |
| Ohhara Rootkit           | ○ | × | × |
| Old rootkits             | × | × | ○ |
| Omega Worm               | × | ○ | ○ |
| OpenBSD rk v1            | × | ○ | × |
| Operation Windigo        | × | ○ | × |
| Optic Kit (Tux) Worm     | ○ | ○ | ○ |
| OSX.RSPlug.A             | × | ○ | × |
| ovas0n rootkit           | × | × | ○ |
| Override rootkit         | × | × | ○ |
| Oz Rootkit               | ○ | × | × |
| Phalanx Rootkit          | ○ | × | ○ |
| Phalanx2 Rootkit         | ○ | × | × |
| Phalanx2 Rootkit (extended tests) | ○ | × | × |
| Pizdakit                 | × | ○ | × |
| Portacelo Rootkit        | ○ | × | × |
| R3dstorm Toolkit         | ○ | × | × |
| Ramen Worm               | × | ○ | ○ |
| RH-Sharpe's Rootkit      | ○ | ○ | ○ |
| RK17                     | × | ○ | ○ |
| Romanian rootkit         | × | ○ | ○ |
| rootedoor rootkit        | × | ○ | ○ |
| rpv21 (Reverse Pimpage)  | × | × | ○ |
| RSHA's Rootkit           | ○ | ○ | ○ |
| RST.b trojan             | × | ○ | × |
| Sadmind/IIS Worm         | × | × | ○ | Solaris [^sadmind] |
| Scalper Worm             | ○ | ○ | ○ | FreeBSD [^scalper] |
| Sebek LKM                | ○ | × | × |
| ShitC Worm               | × | ○ | ○ |
| Shkit rootkit            | × | ○ | ○ |
| Showtee                  | × | ○ | ○ |
| Shutdown Rootkit         | ○ | × | × |
| SHV4 Rootkit             | ○ | ○ | × |
| SHV5 Rootkit             | ○ | ○ | ○ |
| Sin Rootkit              | ○ | × | × |
| SK rootkit.              | × | ○ | × |
| Slapper Worm             | ○ | ○ | ○ | [^slapper] |
| Sneakin Rootkit          | ○ | × | × |
|  Sniffer log             | × | × | ○ |
| Solaris rootkit          | × | ○ | ○ |
| Spanish' Rootkit         | ○ | × | × |
| Suckit Rootkit           | ○ | ○ | ○ |
| Superkit Rootkit         | ○ | × | × |
| Suspicious file          | × | × | ○ |
| T.R.K                    | × | ○ | × |
| T0rn Rootkit             | ○ | ○ | ○ |
| t0rn v8.0                | × | ○ | × |
| TBD (Telnet BackDoor)    | ○ | × | × |
| TC2 Worm                 | × | ○ | ○ |
| TeLeKiT Rootkit          | ○ | × | ○ |
| Tribe bot                | × | × | ○ |
| TRK rootkit              | × | × | ○ |
| trNkit Rootkit           | ○ | × | × |
| Trojanit Kit             | ○ | × | × |
| Tuxtendo Rootkit         | ○ | × | ○ |
| URK Rootkit              | ○ | × | × |
| Vampire Rootkit          | ○ | × | × |
| VcKit Rootkit            | ○ | × | × |
| Volc Rootkit             | ○ | ○ | ○ |
| Wormkit Worm             | × | ○ | × |
| x.c Worm                 | × | ○ | × |
| Xzibit Rootkit           | ○ | × | × |
| zaRwT.KiT Rootkit        | ○ | ○ | ○ |
| ZK Rootkit               | ○ | ○ | ○ |

[^adm]: https://www.trendmicro.com/vinfo/us/threat-encyclopedia/archive/malware/UNIX_ADM.WORM.A
[^balaur]: https://packetstormsecurity.com/files/29748/last1.tgz.html
[^beastkit]: http://ossec-docs.readthedocs.io/en/latest/rootcheck/rootcheck-beastkit.html
[^sadmind]: http://www.iss.net/security_center/reference/jp/vuln/sol-sadmind-amslverify-bo.htm
[^scalper]: https://www.symantec.com/ja/jp/security_response/writeup.jsp?docid=2002-062814-5031-99
[^slapper]: http://www.mcafee.com/japan/security/virS.asp?v=Linux/Slapper.worm.a