Cómo detectar un compromiso en servidores Linux: ClamAV, Lynis, AIDE y detectores de rootkits

¿Cómo saber si un servidor Linux no ha sido comprometido? Ninguna herramienta por sí sola puede garantizarlo, pero un pequeño conjunto de herramientas gratuitas cubre la mayor parte: ClamAV para analizar las carpetas web y los archivos subidos en busca de malware conocido, Lynis para auditar la configuración, AIDE para avisarle cuando cambian archivos del sistema y, con advertencias claras, rkhunter o chkrootkit para detectar rastros de rootkits conocidos. Prográmelas, envíe los resultados a un lugar donde una persona los lea y decida de antemano qué hará cuando alguna detecte algo. A continuación encontrará los comandos para Debian 12/13, Ubuntu 24.04 y RHEL/AlmaLinux 9/10.

Esta guía trata sobre la detección. La prevención (actualizaciones, firewall, SSH) se cubre en nuestra guía de fundamentos de endurecimiento de servidores Linux.

Qué hace cada herramienta y qué no hace

Herramienta	Qué revisa	Qué no le dirá
ClamAV	Archivos contra firmas de malware conocido	Malware nuevo o hecho a medida sin firma
Lynis	Debilidades de configuración y endurecimiento pendiente	Si un atacante ya está dentro
AIDE	Qué archivos cambiaron desde su línea base	Si un cambio fue malicioso o una actualización legítima
rkhunter / chkrootkit	Archivos y ajustes asociados a rootkits conocidos	Rootkits que no conocen o que se ocultan del sistema en ejecución
dpkg --verify / rpm -Va	Archivos de paquetes que difieren de sus sumas de verificación	Cambios en archivos que no pertenecen a ningún paquete, como su sitio web

Ninguna reemplaza los respaldos, las actualizaciones ni el monitoreo.

ClamAV: análisis de carpetas web y archivos subidos

ClamAV es un motor antivirus de código abierto mantenido por Cisco Talos. En servidores es más útil en los directorios donde personas externas pueden colocar archivos: carpetas raíz de sitios web, carpetas de subidas, unidades compartidas y adjuntos de correo.

Instalación y firmas actualizadas

## Debian / Ubuntu
sudo apt install clamav clamav-daemon
systemctl status clamav-freshclam

## RHEL / AlmaLinux (los paquetes vienen de EPEL)
sudo dnf install epel-release        # en RHEL, siga las instrucciones de instalación de EPEL
sudo dnf install clamav clamd clamav-freshclam
sudo freshclam
sudo systemctl enable --now clamav-freshclam

freshclam descarga las bases de datos oficiales de firmas y el servicio clamav-freshclam las mantiene actualizadas. Un escáner con firmas viejas da una falsa sensación de seguridad, así que revise ese servicio cada vez que revise el servidor.

¿clamscan o clamd?

• clamscan es un comando independiente. Carga toda la base de datos de firmas en cada ejecución, por lo que tarda en arrancar y usa bastante memoria mientras trabaja. Sirve bien para una tarea nocturna.
• clamd es un servicio (daemon) que mantiene el motor cargado, y clamdscan le envía los archivos. Es más rápido para análisis frecuentes o para revisar archivos subidos a medida que llegan. Mantiene las firmas en memoria todo el tiempo y, por defecto, carga brevemente un segundo motor al recargar las firmas (ConcurrentDatabaseReload), así que dimensione la RAM del servidor en consecuencia. Nunca exponga a internet el socket TCP de clamd: la documentación de ClamAV indica que no tiene autenticación.

Un análisis nocturno de la carpeta web que solo reporta los archivos infectados:

sudo nice -n 19 clamscan -r -i --log=/var/log/clamscan-www.log /var/www

Con el servicio en ejecución:

sudo clamdscan --multiscan --fdpass -i /var/www

clamscan termina con el código 1 cuando encuentra algo, lo que facilita conectarlo a sus alertas. Evite --remove. La propia documentación de ClamAV advierte sobre los falsos positivos y sugiere usar --move o --copy hacia una carpeta de cuarentena, para que una persona revise el archivo primero.

Sea realista sobre la cobertura. ClamAV detecta malware conocido y muchas web shells comunes en PHP, pero los atacantes modifican su código con frecuencia para evadir las firmas. Un resultado limpio de ClamAV significa "no se encontró nada conocido", no "este sitio está limpio".

Lynis: auditoría de la configuración

Lynis es una herramienta de auditoría de seguridad de código abierto de CISOfy. Ejecuta cientos de pruebas y reporta advertencias y sugerencias; corregirlas depende de usted.

## Debian / Ubuntu
sudo apt install lynis
## RHEL / AlmaLinux (EPEL)
sudo dnf install lynis

sudo lynis audit system

Los detalles se guardan en /var/log/lynis.log y los hallazgos en /var/log/lynis-report.dat. El resumen incluye un "hardening index" (índice de endurecimiento). Úselo para seguir el progreso del mismo servidor con el tiempo, no como una calificación para comparar con otros sistemas. Lea primero las advertencias y no aplique todas las sugerencias a ciegas: algunas no aplican a un servidor web o de base de datos.

Ejecútelo una vez al mes y después de cambios importantes.

AIDE: monitoreo de integridad de archivos

AIDE (Advanced Intrusion Detection Environment) registra una línea base de los atributos y hashes de los archivos y luego reporta lo que se agregó, eliminó o modificó.

Cree la línea base

Cree la línea base en un servidor de confianza, justo después de instalarlo o justo después de verificar que está limpio.

## Debian / Ubuntu
sudo apt install aide
sudo aideinit                       # crea la línea base en /var/lib/aide/
sudo aide --config /etc/aide/aide.conf --check

## RHEL / AlmaLinux 9/10 (AppStream)
sudo dnf install aide
sudo aide --init
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
sudo aide --check

En Debian y Ubuntu, el paquete ya programa una revisión diaria (mediante cron o un temporizador de systemd, según la versión) y envía el informe por correo a root, así que asegúrese de que el correo de root llegue a una persona real. En RHEL, Red Hat recomienda revisiones al menos semanales, preferiblemente diarias, por ejemplo desde /etc/crontab:

05 4 * * * root /usr/sbin/aide --check

Reduzca el ruido y mantenga confiable la línea base

• Después de cambios legítimos (actualizaciones de paquetes, cambios de configuración), revise el informe, acepte el nuevo estado con aide --update y coloque la nueva base de datos en su lugar. Sin este paso, las alertas reales se pierden entre cambios esperados.
• Ajuste las reglas en /etc/aide.conf (RHEL) o /etc/aide/aide.conf.d/ (Debian/Ubuntu) para omitir rutas que cambian constantemente, como las cachés.
• Proteja la base de datos. Un atacante con acceso root puede regenerarla. La documentación de Red Hat recomienda guardar la base de datos, la configuración y el binario aide en un lugar seguro, como un medio de solo lectura. Como mínimo, copie la base de datos fuera del servidor y anote su suma de verificación (sha256sum /var/lib/aide/aide.db*) en un lugar donde el servidor no pueda escribir.

Como verificación adicional rápida, ambos gestores de paquetes pueden comparar los archivos instalados con las sumas de verificación de los paquetes: sudo dpkg --verify en Debian/Ubuntu y sudo rpm -Va en RHEL/AlmaLinux. Es normal ver algunos cambios legítimos en archivos de configuración.

Detectores de rootkits: útiles, con límites

rkhunter busca archivos de rootkits conocidos, binarios del sistema modificados y ajustes sospechosos. Su última versión, la 1.4.6, es de febrero de 2018. Debian, Ubuntu y EPEL todavía la empaquetan, pero su conocimiento de amenazas nuevas es limitado y es conocida por generar falsos positivos que requieren ajustes.

sudo apt install rkhunter      # o: sudo dnf install rkhunter (EPEL)
sudo rkhunter --propupd        # guarda las propiedades actuales como línea base
sudo rkhunter --check --sk --rwo

Ejecute --propupd solo cuando confíe en el estado actual del sistema, y de nuevo después de actualizaciones de paquetes que haya revisado; de lo contrario, rkhunter marcará cada binario actualizado.

chkrootkit es un proyecto similar y más antiguo. Sigue activo: su sitio web anuncia la versión 0.59, publicada en enero de 2026, mientras que Debian 13 incluye la 0.58b. Está empaquetado para Debian y Ubuntu (sudo apt install chkrootkit y luego sudo chkrootkit).

El límite importante aplica a ambos: estas herramientas se ejecutan en el mismo sistema que revisan. Un rootkit que controla el kernel puede ocultarse de ellas. Un resultado limpio da tranquilidad, pero no es una prueba; una advertencia merece una investigación, no pánico inmediato.

Un calendario sencillo de análisis

Revisión	Frecuencia	Adónde van los resultados
Actualización de firmas (freshclam)	Automática (servicio)	Estado del servicio en su monitoreo
ClamAV en carpetas web y subidas	Cada noche	Correo o ticket cuando el código de salida es 1
Revisión de integridad con AIDE	Diaria	Correo a un buzón supervisado
rkhunter o chkrootkit	Semanal	Correo, revisado junto con AIDE
Auditoría con Lynis	Mensual y tras cambios importantes	Revisada y comparada con el tiempo

Compruebe que cada alerta realmente le llega a alguien.

Qué hacer si se encuentra algo

1. No borre primero. Ponga el archivo en cuarentena (--move) y guarde una copia de los registros. Puede necesitarlos para entender cómo llegó allí.
2. Evalúe el alcance. Una detección de ClamAV en una carpeta de subidas puede significar que se subió un archivo malicioso que nunca se ejecutó. Una alerta de AIDE en /usr/bin o una advertencia de rootkit sugiere que el atacante podría tener acceso root.
3. Asuma lo peor ante hallazgos a nivel de sistema. Si se reemplazaron binarios del sistema, la solución más segura es reconstruir el servidor desde medios confiables y restaurar los datos limpios desde respaldos anteriores al compromiso, no limpiarlo en el lugar.
4. Cambie las credenciales que estaban guardadas en ese servidor o que se usaron desde él.
5. Siga su plan de respuesta a incidentes. Nuestra guía sobre las primeras 24 horas después de una filtración de datos explica la contención y las notificaciones, y nuestros pasos para limpiar un sitio web hackeado cubren la parte del sitio web.

Obtenga ayuda para vigilar sus servidores Linux

Instalar estas herramientas es la parte fácil; leer las alertas todos los días es lo que las hace funcionar. Core Florida IT instala, ajusta y monitorea el análisis de malware y la revisión de integridad de archivos en servidores Linux empresariales de Miami-Dade, de todo el sur de Florida y, de forma remota, en todo el país, mediante nuestros servicios de soporte de TI administrado e instalación y reparación de servidores. Solicite una evaluación de TI gratuita y revisaremos qué está vigilando hoy sus servidores.

Fuentes

• Documentación de ClamAV: Scanning (en inglés)
• Documentación de ClamAV: actualización de firmas con freshclam (en inglés)
• Checking integrity with AIDE, documentación de RHEL 9 (Red Hat, en inglés)
• Lynis (CISOfy, en inglés)
• Archivos de versiones de Rootkit Hunter (SourceForge)
• Sitio del proyecto chkrootkit (en inglés)