rkhunter Adalah: Cara Kerja, Pemasangan & Kelemahannya

Pekerjaan seorang administrator server bertumpu pada rasa percaya terhadap perintah-perintah kecil. Anda mengetik ps untuk melihat proses yang berjalan, ls untuk melihat isi direktori, dan netstat atau ss untuk melihat koneksi yang terbuka. Semua keputusan berikutnya berdiri di atas jawaban ketiga perintah tersebut.

Persoalannya, jawaban itu bisa dipalsukan. Ada kelas perangkat lunak berbahaya yang tujuan utamanya bukan merusak, melainkan menyembunyikan keberadaan dirinya dan penyusup yang menanamnya. Ia mengganti ps dengan versi yang sengaja melewatkan satu nama proses, atau menyisipkan modul ke dalam kernel supaya satu direktori tidak pernah muncul di hasil ls. Sejak saat itu, server Anda berbohong dengan sangat sopan setiap kali ditanya.

Untuk mencari tanda-tanda kebohongan semacam itulah alat yang kita bahas kali ini dibuat.

Apa Itu rkhunter?

rkhunter adalah pemindai keamanan berbasis baris perintah untuk sistem Unix dan Linux yang mencari jejak rootkit, backdoor, dan celah eksploitasi lokal pada mesin tempat ia dijalankan. Namanya kependekan dari Rootkit Hunter, dan perintahnya ditulis persis seperti itu: rkhunter.

Rootkit adalah perangkat lunak berbahaya yang dirancang untuk mempertahankan akses tingkat root (pengguna tertinggi di Linux) sekaligus menyembunyikan jejaknya dari alat pemantauan biasa. Berbeda dengan virus yang ingin menyebar atau ransomware yang ingin terlihat, rootkit justru berhasil ketika tidak ada yang menyadarinya.

Proyek ini dimulai Michael Boelen pada 2003, lalu diserahkan ke sebuah tim pengembang pada 2006. Lisensinya GNU General Public License, salah satu lisensi open source tertua. Bentuk teknisnya pun lebih sederhana daripada yang dibayangkan banyak orang: satu skrip shell sepanjang 21.646 baris, dibantu beberapa skrip Perl kecil untuk perhitungan hash dan pembacaan tautan simbolik.

Ketersediaannya luas: hampir semua distribusi Linux memaketkannya, dan Kali Linux menyertakannya di katalog tool bawaan.

Dua hal perlu diluruskan sejak awal. Pertama, rkhunter bekerja lokal, artinya ia memeriksa mesin tempat ia dipasang, bukan memindai server lain dari jauh. Ia juga bukan alat pembersih: tugasnya berhenti pada melaporkan kejanggalan, dan tindakan berikutnya tetap ada di tangan Anda.

Kedua, rkhunter sering disebut antivirus linux, padahal pekerjaan keduanya berbeda. Antivirus mencocokkan isi berkas terhadap basis data malware Linux yang terus diperbarui, seperti yang dilakukan ClamAV. rkhunter berangkat dari arah lain: ia mencari jejak penyembunyian di tingkat sistem — berkas yang berubah diam-diam, direktori tersembunyi, konfigurasi yang dilonggarkan.

Empat Sudut Pemeriksaan rkhunter Terhadap Sistem Anda

Daftar test bawaan rkhunter berjumlah 44 nama. Angka itu terdengar banyak, tetapi seluruhnya bisa dikelompokkan menjadi empat sudut pemeriksaan yang saling melengkapi.

1. Pencocokan nama rootkit yang sudah dikenal: rkhunter menyimpan daftar rootkit beserta berkas, direktori, dan potongan string khas masing-masing. Bagian inilah yang paling mirip cara kerja antivirus tradisional, dan ia ditambah 16 berkas signature berformat ClamAV untuk beberapa keluarga malware tertentu.
2. Perbandingan properti berkas terhadap catatan awal: rkhunter merekam nilai hash, izin akses, kepemilikan, ukuran, dan nomor inode dari perintah-perintah sistem penting, lalu membandingkannya pada pemindaian berikutnya. Sudut ini tidak peduli nama rootkit; ia hanya peduli bahwa /bin/ps hari ini berbeda dari /bin/ps kemarin.
3. Pemeriksaan konfigurasi sistem: mencakup pengaturan SSH seperti PermitRootLogin, konfigurasi syslog, akun selain root yang memiliki UID 0, serta akun tanpa kata sandi. Ini pemeriksaan hardening, bukan pemburuan malware.
4. Pengamatan anomali host dan jaringan: port yang mendengarkan pada nomor yang biasa dipakai backdoor, antarmuka jaringan dalam mode promiscuous, modul kernel yang termuat, sampai segmen memori bersama berukuran janggal.

Satu detail yang jarang disadari pemakainya ada di berkas konfigurasi bawaan. Baris ENABLE_TESTS=ALL memang terbaca seperti "jalankan semuanya", tetapi baris tepat di bawahnya berbunyi DISABLE_TESTS=suspscan hidden_ports hidden_procs deleted_files packet_cap_apps apps. Enam test dimatikan secara bawaan, dan salah satunya adalah hidden_procs — pemeriksaan proses tersembunyi, justru gejala paling khas dari rootkit tingkat kernel.

Cara kerja rkhunter lewat empat sudut: nama rootkit dikenal, properti berkas, konfigurasi sistem, dan anomali jaringan.

Enam test itu dimatikan bukan tanpa alasan. Sebagian, seperti suspscan, sangat berat dan sering keliru; sebagian lain membutuhkan perintah tambahan yang tidak selalu ada. Kalau Anda ingin mengaktifkan salah satunya, lakukan satu per satu lewat opsi --enable dan perhatikan berapa banyak peringatan baru yang muncul sebelum memasukkannya ke konfigurasi tetap.

Isi Basis Data rkhunter dan Kapan Terakhir Diperbarui

Sudut pemeriksaan pertama bergantung sepenuhnya pada seberapa segar daftar yang dipegang rkhunter. Karena itu isinya layak dibuka apa adanya.

Daftar nama rootkit di dalam program berisi 93 entri, mulai dari Adore dan Knark era awal 2000-an sampai Ebury, Jynx2, dan Diamorphine LKM. Berkas data pendukungnya membawa cap versi masing-masing, dan cap itu bercerita banyak:

Angka-angka itu bisa Anda periksa sendiri. Perintah berikut mencetak seluruh nama rootkit yang dikenali versi yang terpasang di mesin Anda:

rkhunter --list rootkits

Ganti rootkits dengan tests untuk melihat daftar 44 nama test tadi.

Rilis resmi terakhir dari pengembang aslinya adalah versi 1.4.6 pada 20 Februari 2018. Rootkit termuda di daftarnya, Diamorphine LKM, masuk pada rilis tersebut. Artinya seluruh keluarga rootkit Linux yang dipublikasikan setelah Februari 2018 tidak punya entri nama di sini. Dokumentasi resmi Rocky Linux menyebutnya dengan kalimat yang tidak berbunga-bunga: proyek ini mati sejak 2018.

Meski begitu, paketnya tidak ditinggalkan. Tim Debian Security Tools masih merilis pembaruan paket sampai versi 1.4.6-14 pada 6 Mei 2026, dengan sepuluh tambalan yang dirawat di sisi distribusi. Pemaket Fedora bahkan sudah sampai revisi ke-33 untuk repositori EPEL. Yang mereka rawat adalah kompatibilitas dan perbaikan alarm palsu, bukan penambahan rootkit baru.

Rilis rkhunter berhenti di 1.4.6 tahun 2018, sementara paket Debian terus dirawat sampai 1.4.6-14 pada 2026.

Konsekuensinya perlu dipahami dengan jernih. Sudut pemeriksaan pertama menua paling cepat, sementara tiga sudut lainnya bertahan jauh lebih baik karena tidak bergantung pada nama ancaman. Perbandingan hash tetap menangkap /bin/ps yang diganti, apa pun nama rootkit yang menggantinya.

Cara Install rkhunter di Ubuntu, Debian, dan CentOS

Langkah #1: Pastikan Anda punya akses root

rkhunter membaca berkas sistem, memeriksa modul kernel, dan menulis basis data di /var/lib. Seluruhnya menuntut hak root. Karena itu alat ini tidak bisa dijalankan di shared hosting, dan hanya masuk akal pada VPS, dedicated server, atau mesin fisik yang Anda kendalikan penuh. Jika website Anda masih di shared hosting, pemindaian tingkat sistem seperti ini memang wilayah penyedia hosting. Untuk mengurusnya sendiri, Anda perlu naik ke VPS Indonesia lebih dulu.

Langkah #2: Pasang paketnya

Nama paketnya sama di hampir semua distro Linux, tetapi asal repositorinya berbeda. Pada Debian dan Ubuntu, rkhunter ada di repositori utama:

sudo apt update
sudo apt install rkhunter

Pada keluarga Red Hat — CentOS Stream, AlmaLinux, dan Rocky Linux — paketnya berada di repositori tambahan EPEL, sehingga repositori itu perlu dipasang lebih dulu:

sudo dnf install epel-release
sudo dnf install rkhunter

Setelah pemasangan selesai, tiga lokasi berikut yang akan sering Anda datangi: berkas konfigurasi di /etc/rkhunter.conf, berkas log di /var/log/rkhunter.log, dan basis data properti berkas di /var/lib/rkhunter/db/rkhunter.dat.

Langkah #3: Buat catatan awal dengan --propupd

Sudut pemeriksaan kedua membutuhkan titik acuan. Perintah berikut merekam properti seluruh berkas sistem yang diawasi ke dalam rkhunter.dat:

sudo rkhunter --propupd

Sebelum menjalankannya, berhenti sejenak dan pahami satu hal yang ditegaskan berulang kali di dokumentasi resminya. rkhunter tidak punya cara menilai apakah berkas di sistem Anda asli atau sudah diganti. Ia hanya merekam apa yang ada saat itu, lalu memperlakukannya sebagai kondisi normal selamanya. Jalankan --propupd hanya pada server yang baru dipasang dan belum pernah terbuka ke internet, atau setelah Anda memverifikasi keaslian berkasnya lewat manajer paket.

Langkah #4: Jalankan pemindaian pertama

sudo rkhunter --check --sk

Opsi --sk (kependekan dari skip keypress) membuat rkhunter berjalan sampai selesai tanpa meminta Anda menekan Enter di setiap pergantian kelompok test. Pemindaian pertama hampir pasti memunculkan sejumlah peringatan, dan itu wajar — bagian berikutnya membahas cara membacanya.

Membaca Hasil Pemindaian dan Berkas Lognya

Keluaran rkhunter --check mengalir per kelompok test, dengan status berwarna di ujung kanan tiap baris. Yang perlu dicari hanya satu kata: Warning. Status OK, Not found, dan Skipped boleh dilewati.

Di akhir pemindaian, rkhunter menampilkan ringkasan berisi jumlah berkas sistem yang diperiksa, jumlah yang mencurigakan, jumlah rootkit yang dicari, dan waktu yang dihabiskan. Ringkasan ini berguna sebagai perbandingan antarwaktu: lonjakan mendadak pada jumlah berkas mencurigakan lebih layak diperiksa daripada angka mentahnya sendiri.

Ringkasan di layar sengaja singkat, jadi alasan tiap peringatan tidak ada di sana. Alasannya ada di berkas log. Untuk menarik baris peringatannya saja:

sudo grep -i warning /var/log/rkhunter.log

Kalau Anda hanya ingin melihat peringatan tanpa seluruh aliran keluaran, opsi --rwo (report warnings only) melakukan hal yang sama langsung saat pemindaian:

sudo rkhunter --check --sk --rwo

Satu prinsip yang menentukan cara Anda menyikapi seluruh hasilnya: rkhunter hanya bisa memberi tahu bahwa sesuatu berubah atau tidak biasa, bukan bahwa sesuatu itu berbahaya. Penilaian terakhir tetap pekerjaan manusia.

Peringatan yang Hampir Selalu Palsu dan Cara Menyaringnya

Sebagian besar peringatan pada pemindaian pertama berasal dari perilaku normal sistem, bukan dari penyusup. Paket Debian bahkan mendaftarkan pemicu yang sudah diketahui berikut penyaringnya:

Peringatan tersering justru muncul belakangan, yaitu "The file properties have changed" yang menyerbu setelah Anda memperbarui paket. Penyebabnya sederhana: pembaruan mengganti binary, hash berubah, dan catatan lama menjadi basi. Perbaikannya menjalankan --propupd lagi setelah Anda yakin pembaruan itu memang berasal dari repositori resmi.

Alur menyaring peringatan rkhunter: baca log, tentukan sebabnya, lalu whitelist di rkhunter.conf.local atau selidiki.

Di Debian dan Ubuntu, pengulangan itu bisa diserahkan ke sistem paket. Perintah sudo dpkg-reconfigure rkhunter menawarkan opsi pembaruan otomatis; jika diaktifkan, sebuah kait di /etc/apt/apt.conf.d/90rkhunter akan menjalankan --propupd setiap kali apt selesai bekerja. Kenyamanan ini ada harganya, dan dokumentasi paketnya menyebutkannya terang-terangan: penyerang yang sempat mengganti berkas di sela antara pemasangan dan pembaruan basis data akan ikut terekam sebagai kondisi normal. Untuk server yang benar-benar kritis, biarkan pilihan itu mati dan jalankan --propupd secara sadar.

Terakhir, dan ini yang paling sering terlewat: tulis seluruh whitelist Anda di /etc/rkhunter.conf.local, bukan di /etc/rkhunter.conf. Berkas lokal itu bukan bagian dari paket, sehingga tidak ditimpa saat rkhunter di-upgrade. rkhunter membaca kedua berkas dan menggabungkan opsi yang boleh muncul lebih dari sekali.

Kenapa Perintah rkhunter --update Gagal di Debian dan Ubuntu

Cepat atau lambat Anda akan mencoba menyegarkan berkas data rkhunter, lalu menemukan perintahnya tidak pernah berhasil di Debian maupun Ubuntu. Ini bukan kerusakan pemasangan, melainkan keputusan yang sengaja diambil pemaketnya.

Debian menambal /etc/rkhunter.conf dengan tiga perubahan: UPDATE_MIRRORS=0, MIRRORS_MODE=1, dan WEB_CMD=/bin/false. Nilai terakhir itu menunjuk perintah pengunduh ke /bin/false, sebuah program yang tugasnya memang selalu gagal. Dengan begitu rkhunter kehilangan kemampuan mengunduh apa pun.

Alasannya tercatat di laporan bug Debian #765895. Mekanisme pembaruan bawaan rkhunter mengunduh berkas data sebagai root, di luar sistem paket, tanpa verifikasi tanda tangan. Kekhawatiran itu kemudian terbukti lewat CVE-2017-7480. Catatan kerentanan tersebut menyatakan bahwa rkhunter di bawah versi 1.4.4 rentan terhadap pengunduhan berkas lewat kanal tidak aman saat memperbarui mirror, dengan kemungkinan berujung pada eksekusi kode jarak jauh. Isi mirrors.dat bawaannya memang masih menunjuk alamat http:// polos. Catatan perubahan paket Debian menuliskan alasannya secara ringkas: pembaruan jarak jauh dimatikan supaya masalah seperti CVE-2017-7480 tidak terulang.

Ada satu kejanggalan yang membuat banyak orang bingung. Berkas /etc/default/rkhunter bawaan Debian mengirim CRON_DB_UPDATE="true", sehingga tugas mingguan di /etc/cron.weekly/rkhunter tetap menjalankan rkhunter --update — perintah yang sudah dipastikan gagal oleh tambalan tadi. Hasilnya email mingguan bernada galat dari server yang sebenarnya sehat.

Rantai penyebab rkhunter --update gagal di Debian: cron mingguan memanggilnya, tetapi WEB_CMD=/bin/false menahannya.

Yang sebaiknya Anda lakukan: biarkan pembaruan jarak jauh tetap mati, dan andalkan pembaruan paket dari repositori distribusi Anda. Kalau email mingguan itu mengganggu, ubah CRON_DB_UPDATE menjadi "false" di /etc/default/rkhunter. Anda tidak kehilangan apa pun yang bernilai, karena berkas data yang hendak diunduh itu sendiri sudah berhenti diperbarui sejak 2018.

Menjadwalkan Pemindaian Otomatis Lewat Cron

Pemindaian manual hanya berguna kalau Anda ingat menjalankannya. Paket Debian dan Ubuntu sudah menyediakan otomatisasinya lewat /etc/cron.daily/rkhunter, yang membaca pengaturan dari /etc/default/rkhunter. Empat nilai yang paling menentukan:

1. CRON_DAILY_RUN: mengaktifkan pemindaian harian. Bawaan paket mengisinya "true".
2. REPORT_EMAIL: alamat tujuan laporan, bawaannya root. Isi dengan alamat yang benar-benar Anda baca, dan pastikan server bisa mengirim surel.
3. NICE: prioritas penjadwalan proses, dari -20 sampai 19. Naikkan ke 10 pada server yang beban CPU-nya padat supaya pemindaian tidak mengganggu layanan.
4. APT_AUTOGEN: pembaruan basis data properti otomatis setelah operasi apt, seperti dibahas di bagian sebelumnya.

Perintah yang benar-benar dijalankan tugas harian itu adalah rkhunter --cronjob --report-warnings-only --appendlog. Opsi --cronjob mematikan warna dan seluruh interaksi, --report-warnings-only menyaring agar hanya peringatan yang terkirim, dan hasilnya baru dikirimkan lewat surel kalau isinya tidak kosong. Rancangan ini penting: Anda hanya menerima email ketika ada yang perlu dilihat.

Pada distro yang tidak menyediakan berkas cron bawaan, Anda bisa menulis sendiri cron job dengan perintah yang sama. Untuk server produksi, pemindaian harian pada jam sepi seperti pukul 03.00 adalah titik awal yang wajar. Untuk mesin pengembangan yang sering berganti paket, mingguan sudah memadai dan jauh lebih sedikit menghasilkan alarm palsu.

Kelemahan rkhunter yang Perlu Anda Pertimbangkan

Alat ini tetap layak dipasang, tetapi memasangnya sambil mengira server sudah aman adalah kekeliruan yang mahal. Empat batasnya perlu Anda ketahui sejak awal.

1. Daftar nama ancamannya berhenti di 2018: 93 nama rootkit yang dikenalinya tidak bertambah sejak rilis terakhir. Ancaman yang muncul setelahnya tidak akan pernah dipanggil namanya, sekalipun sebagian jejaknya masih bisa tertangkap oleh pemeriksaan hash dan konfigurasi.
2. Catatan awalnya hanya sekuat momen pembuatannya: kalau --propupd pertama dijalankan pada server yang sudah tersusupi, rkhunter akan merekam berkas yang sudah diganti sebagai kondisi normal. Sejak saat itu ia justru membantu penyusup dengan menyatakan semuanya baik-baik saja.
3. Peringatan palsunya melelahkan: setiap pembaruan paket bisa memunculkan puluhan peringatan properti berkas. Bahaya sesungguhnya bukan pada peringatannya, melainkan pada kebiasaan yang tumbuh setelahnya — Anda berhenti membaca, dan peringatan yang benar-benar penting ikut terlewat.
4. Ia memakai perintah yang mungkin sudah dibohongi: rkhunter berjalan di atas sistem yang sedang diperiksanya, memakai perintah seperti ls, stat, dan file. Rootkit tingkat kernel yang cukup canggih dapat memanipulasi jawaban perintah tersebut sehingga pemeriksaannya kehilangan arti. Pemeriksaan yang benar-benar tepercaya menuntut disk dilepas dan diperiksa dari sistem lain.

Lalu kapan alat ini tetap berguna? Ketika ia dipakai sebagai lapisan pemantauan tambahan, bukan sebagai pertahanan tunggal. Pemberitahuan bahwa /usr/bin/ssh berubah di luar jadwal pembaruan adalah informasi yang bernilai, dan rkhunter memberikannya dengan biaya nyaris nol.

rkhunter, chkrootkit, ClamAV, Lynis, dan AIDE: Siapa Mengerjakan Apa

Setelah memahami batas rkhunter, pertanyaan berikutnya adalah alat mana lagi yang perlu dipasang. Jawabannya lebih mudah kalau kelimanya dilihat sebagai pembagian tugas, bukan daftar pesaing.

Dua catatan praktis dari tabel itu. Pertama, soal rkhunter vs chkrootkit: keduanya bukan pilihan yang saling meniadakan, dan lazim dipasang berdampingan justru karena daftar deteksinya tidak sama. Selisih usia pemeliharaannya memperkuat alasan itu — rilis chkrootkit 0.59 pada 1 Januari 2026 menambahkan pemeriksaan untuk XZ Backdoor dan Bootkitty, dua ancaman yang muncul bertahun-tahun setelah rkhunter berhenti dirilis.

Kedua, soal rkhunter vs Lynis: Lynis kerap disalahpahami sebagai penggantinya, padahal pekerjaannya berbeda. Ia menilai seberapa rapat konfigurasi server Anda, bukan mencari penyusup yang sudah masuk.

Di luar kelimanya, ada dua pilihan lain yang cakupannya lebih luas. Wazuh menyatukan pemantauan integritas berkas, pembacaan log, dan deteksi rootkit ke dalam satu sistem terpusat untuk banyak server sekaligus. Sementara pengguna panel hosting yang menginginkan perlindungan siap pakai biasanya berakhir pada paket komersial seperti Imunify360. Keduanya menuntut sumber daya dan biaya yang jelas lebih besar daripada satu skrip shell.

Perlu diingat juga bahwa seluruh alat di atas bekerja setelah penyusup masuk. Lapisan yang menahan di depan — firewall seperti CSF dan pembatasan akses SSH — tetap pekerjaan yang tidak tergantikan.

Pertanyaan yang Sering Diajukan

Apakah rkhunter bisa dipakai di shared hosting?

Tidak. rkhunter membutuhkan hak root untuk membaca berkas sistem dan menulis basis datanya, sedangkan akun shared hosting hanya punya akses ke direktori sendiri. Pemindaian tingkat sistem pada shared hosting merupakan tanggung jawab penyedia hosting.

Apakah rkhunter bisa menghapus rootkit yang ditemukan?

Tidak bisa, dan memang tidak dirancang untuk itu. rkhunter berhenti pada pelaporan. Membersihkan rootkit dari sistem yang sudah berjalan juga bukan praktik yang dianjurkan, karena Anda tidak pernah benar-benar tahu apa lagi yang ditinggalkan penyusup.

Berapa sering pemindaian rkhunter sebaiknya dijalankan?

Untuk server produksi, sekali sehari pada jam sepi sudah memadai dan itu pula yang menjadi bawaan paket Debian. Untuk mesin pengembangan yang paketnya sering berganti, sekali seminggu lebih nyaman karena mengurangi peringatan properti berkas yang tidak berarti.

Kenapa rkhunter memperingatkan bahwa akses root SSH diizinkan?

Peringatan itu berasal dari perbandingan antara opsi ALLOW_SSH_ROOT_USER di /etc/rkhunter.conf dengan PermitRootLogin di konfigurasi SSH Anda. Nilai bawaan rkhunter adalah no, jadi setiap konfigurasi SSH yang mengizinkan login root akan dianggap tidak sesuai. Perbaikan yang benar biasanya bukan mengubah nilai di rkhunter, melainkan mematikan login root di SSH.

Apa yang harus dilakukan kalau rkhunter benar-benar menemukan rootkit?

Langkah pertama adalah memverifikasi temuan itu dari luar sistem yang bersangkutan, misalnya dengan memeriksa hash berkas terhadap basis data manajer paket. Kalau temuannya terkonfirmasi, jalur pemulihan yang dianjurkan adalah memasang ulang server dari awal. Setelah itu pulihkan data dari cadangan yang dibuat sebelum penyusupan, lalu ganti seluruh kredensial yang pernah ada di mesin tersebut.

Kesimpulan

rkhunter adalah pemindai rootkit lokal yang murah, ringan, dan tersedia di hampir semua distro Linux, dengan empat sudut pemeriksaan yang saling melengkapi. Kekuatan terbesarnya bukan pada daftar nama rootkit yang berhenti bertambah sejak 2018, melainkan pada kemampuannya memberi tahu Anda bahwa sebuah perintah sistem berubah di luar jadwal yang Anda ketahui.

Pasang ia sebagai lapisan pemantauan tambahan, dan buat catatan awal hanya pada server yang benar-benar bersih. Jadwalkan pemindaian harian untuk produksi atau mingguan untuk mesin pengembangan. Di atas semuanya, sadari bahwa temuan rkhunter adalah awal penyelidikan, bukan akhirnya. Untuk sisanya, lengkapi dengan alat yang tugasnya berbeda.

Semoga artikel ini membantu.