Din când în când merită să faci o verificare temeinică a calculatorului cu Linux Mint, chiar dacă nu ai niciun motiv special de îngrijorare. Nu pentru că riscul de infecție ar fi mare pe Linux, ci pentru liniștea de a ști exact ce rulează pe sistemul tău. Mai jos las un ghid mai tehnic, cu comenzile exacte și explicații pentru fiecare pas, plus felul în care interpretezi rezultatele fără să intri în panică la fiecare avertisment.
Primul pas este scanarea de fișiere cu ClamAV, motorul antivirus deschis folosit cel mai des pe Linux. Se instalează cu:
sudo apt install clamav clamav-daemon
Pachetul clamav conține motorul de scanare și comenzile de bază, iar clamav-daemon pornește serviciul clamd care ține semnăturile încărcate în memorie, ceea ce face scanările ulterioare mult mai rapide. Înainte de prima scanare, actualizezi baza de semnături:
sudo freshclam
Dacă la instalare serviciul de actualizare pornește automat și intră în conflict cu comanda manuală, îl oprești temporar cu sudo systemctl stop clamav-freshclam, rulezi freshclam, apoi îl repornești și îl activezi permanent:
sudo systemctl start clamav-freshclam
sudo systemctl enable clamav-freshclam
Pentru scanarea completă a sistemului, comanda arată așa:
sudo clamscan -r -i --exclude-dir="^/sys|^/proc|^/dev" /
Parametrul -r face scanarea recursivă prin toate subdirectoarele, -i afișează doar fișierele infectate ca să nu te îneci în mii de linii cu "OK", iar --exclude-dir scoate din calcul directoarele virtuale gen /proc, /sys și /dev, care oricum nu conțin fișiere reale de scanat. O scanare completă poate dura destul de mult, în funcție de câte date ai pe disc, așa că e util să redirectezi rezultatul într-un fișier de jurnal cu opțiunea -l ~/clamscan_raport.log.
Dacă apare vreo detecție, primul instinct nu trebuie să fie panica, ci verificarea. Comanda file îți arată tipul real al fișierului, indiferent de extensie:
file /calea/catre/fisier
Iar hash-ul fișierului, calculat cu sha256sum /calea/catre/fisier, îl poți căuta pe VirusTotal ca să vezi câte motoare antivirus din toată lumea îl marchează. Dacă doar ClamAV are o detecție izolată, în timp ce motoare mari precum Kaspersky, Microsoft sau Bitdefender nu raportează nimic, aproape sigur e vorba de un fals pozitiv, o coincidență de octeți dintr-un fișier binar mare cu tiparul unei semnături vechi. Fals pozitivele confirmate se pot raporta direct către proiect prin formularul oficial de pe clamav.net/reports/fp, ca semnătura să fie corectată pentru toată lumea.
Al doilea pas vizează rootkit-urile, care sunt mult mai greu de depistat decât un virus obișnuit, pentru că se ascund adânc în sistem, uneori chiar la nivel de kernel. Se recomandă folosirea a două unelte în paralel, tocmai pentru că folosesc metode diferite de detecție și se completează reciproc.
rkhunter se instalează și se folosește astfel:
sudo apt install rkhunter
sudo rkhunter --update
sudo rkhunter --propupd
sudo rkhunter --check
Comanda --propupd creează o bază de referință a fișierelor de sistem, ideal de rulat o singură dată pe un sistem curat, iar --check face verificarea propriu-zisă, testând sute de semnături cunoscute de rootkit-uri, integritatea comenzilor esențiale de sistem și eventuale porturi de rețea folosite de programe malițioase cunoscute. Rezultatul detaliat se salvează automat în /var/log/rkhunter.log.
chkrootkit funcționează similar și se instalează la fel de simplu:
sudo apt install chkrootkit
sudo chkrootkit
Ambele unelte generează des avertismente care par alarmante la prima citire, dar au explicații banale. Un exemplu foarte întâlnit este mesajul de tip "packet sniffer" pe interfețele de rețea, care nu înseamnă interceptare de trafic, ci doar faptul că NetworkManager sau wpa_supplicant folosesc socket-uri de tip raw pentru gestionarea normală a conexiunilor. La fel, fișierele sau directoarele ascunse din /etc marcate ca suspecte sunt de obicei generate de configurări standard ale sistemului, nu de intruși.
Al treilea pas este auditul general de securitate cu Lynis, o unealtă care nu se limitează la malware, ci verifică permisiuni de fișiere, servicii pornite, configurări de kernel, parametri de rețea și multe altele:
sudo apt install lynis
sudo lynis audit system
La final primești un scor de tip hardening index, plus o listă de avertismente și sugestii, fiecare cu un cod propriu, gen MAIL-8818 sau BOOT-5122, și un link către explicația detaliată. E important de reținut că majoritatea sugestiilor sunt gândite pentru servere de producție, nu pentru un calculator personal, așa că lucruri precum partiții separate pentru fiecare director important sau conturi cu dată de expirare a parolei nu prea au relevanță pe un desktop obișnuit. Merită tratate cu prioritate doar avertismentele legate direct de servicii care ascultă pe rețea sau de configurări nesigure ale programelor pe care chiar le folosești.
În completarea uneltelor automate, câteva verificări manuale ajută la o imagine completă:
ps aux --sort=-%cpu | head -20
afișează procesele care consumă cel mai mult procesor, util ca să prinzi rapid orice proces cu nume ciudat sau cale de execuție suspectă, din afara directoarelor obișnuite gen /usr/bin sau /opt.
sudo ss -tulpn
listează toate porturile deschise, atât TCP cât și UDP, împreună cu programul care le folosește. Aici merită verificat dacă vreun serviciu ascultă pe toate interfețele (0.0.0.0) când ar trebui să rămână doar local (127.0.0.1), mai ales pentru programe care nu au niciun motiv să fie accesibile din rețea.
find /etc /usr/bin /usr/sbin -mtime -7 -type f
caută fișierele modificate în ultimele șapte zile din directoarele critice ale sistemului, util pentru a observa modificări neașteptate, deși de cele mai multe ori explicația e simplă, instalări sau actualizări recente de programe.
sudo debsums -c
verifică integritatea fișierelor instalate din pachete, comparând suma de control curentă cu cea originală din pachetul Debian sau Ubuntu. Aici apar frecvent fișiere marcate ca modificate, dar în marea majoritate a cazurilor sunt iconițe, fișiere de configurare desktop sau resurse generate de scripturile de instalare ale pachetului, nu binare critice modificate malițios. Pentru orice fișier semnalat, poți verifica din ce pachet provine cu dpkg -S /calea/catre/fisier și compara versiunea instalată cu cea oficială.
Combinația dintre aceste unelte automate și verificările manuale oferă o imagine destul de completă a stării unui sistem Linux Mint. Majoritatea avertismentelor pe care le întâlnești sunt fals pozitive sau particularități normale ale unui desktop activ, cu multe programe instalate, iar interpretarea corectă a rezultatelor contează la fel de mult ca rularea scanărilor în sine.
#blaugust2026
Comentarii