问题[rootkit](ubuntu)

我想用来debsums检查我所有包裹的完整性

sudo dpkg -l | awk {'print $2'} | xargs | debsums |grep -v OK

但我得到了这些错误：

debsums: can't open fwupd file /var/lib/polkit-1/localauthority/10-vendor.d/fwupd.pkla (Permission denied)
debsums: can't open geoclue-2.0 file /var/lib/polkit-1/localauthority/10-vendor.d/geoclue-2.0.pkla (Permission denied)
debsums: can't open gnome-initial-setup file /var/lib/polkit-1/localauthority/10-vendor.d/gnome-initial-setup.pkla (Permission denied)
debsums: can't open linux-image-5.0.0-31-generic file /boot/vmlinuz-5.0.0-31-generic (Permission denied)
debsums: can't open linux-image-5.0.0-32-generic file /boot/vmlinuz-5.0.0-32-generic (Permission denied)
debsums: can't open linux-modules-5.0.0-31-generic file /boot/System.map-5.0.0-31-generic (Permission denied)
debsums: can't open linux-modules-5.0.0-32-generic file /boot/System.map-5.0.0-32-generic (Permission denied)
debsums: can't open network-manager file /var/lib/polkit-1/localauthority/10-vendor.d/org.freedesktop.NetworkManager.pkla (Permission denied)
debsums: can't open packagekit file /var/lib/polkit-1/localauthority/10-vendor.d/org.freedesktop.packagekit.pkla (Permission denied)
debsums: can't open policykit-desktop-privileges file /var/lib/polkit-1/localauthority/10-vendor.d/com.ubuntu.desktop.pkla (Permission denied)
debsums: can't open systemd file /var/lib/polkit-1/localauthority/10-vendor.d/systemd-networkd.pkla (Permission denied)

如何防止这些错误？为什么连root都不能读取这些文件？

最后，我想创建一些最小的 rootkit 检测系统，如果有任何输出，它会发送一封电子邮件

在长期安装的机器上安装 Aide 有什么意义吗？还是只有在全新安装后立即安装或从拇指驱动器运行时才值得信赖？

背景：

一个不懂技术的朋友有一台笔记本电脑，我帮助他继续做生意。它最初安装 14.04 LTS 并升级到 16.04 LTS。他只有一个用户密码，没有root密码，也不在sudo组中。我曾多次告诉他不要点击未知附件，但我知道有时他仍会尝试打开一些内容，例如视频附件，来自可能被黑客入侵的朋友、感染病毒等。

最近笔记本电脑一直“变慢”，就我知道如何检查的相当基本的事情而言，我看不出有充分的理由（磁盘未满，未交换，顶部在不同时间显示 2-5 个项目，每个使用 < 2-5% 等）。也许我应该先检查更多这些基本的东西，但我觉得它被黑客入侵或 rootkitted 有点偏执。

我曾经在我的所有服务器上使用 Tripwire，所以我熟悉它如何构建数据库，然后监控与之相比的变化。如果笔记本电脑的文件已经被黑客入侵，并且 Aide 的工作方式相同，那么这将无济于事。但是，如果 Aide 有一些安全的方法来检查二进制文件的存储库版本，那么我想它可以告诉我我是否安全，而无需全新安装。

显然，全新安装将是最安全的方法，但他在 400 公里之外，并且在缓慢的卫星互联网上，所以全新安装需要大量的努力。

今天我扫描了我的机器rkhunter：

sudo rkhunter --checkall

这些是我收到的警告：

Checking for passwd file changes                         [ Warning ]
Checking for group file changes                          [ Warning ]

这有什么好担心的吗？如果是，那么我应该如何进行？

操作系统信息：

Description:    Ubuntu 14.10
Release:    14.10

有一些适用于 Linux 的 rootkitscanners，例如：

• chkrootkit
• 猎手

但是我如何在桌面上收到通知？

如果扫描仪发现了什么，是否有可能得到警报？

以及推荐什么计划/系统管理员例程？