DARKCLOAK

إخفاء هوية العمليات على Linux

يقوم DARKCLOAK بتسلسل التلاعب بجميع مصادر الهوية المرئية لمساحة المستخدم في خط أنابيب تسلسلي من 11 مرحلة يحوّل العملية تدريجيًا حتى تصبح غير قابلة للتمييز عن العملية المنتحَلَة بالنسبة لأدوات المراقبة في مساحة المستخدم. على حد علمنا، لا توجد أداة منشورة تجمع بين التلاعب المتزامن بجميع مصادر الهوية المرئية لمساحة المستخدم.

الشرح التقني الكامل متاح على مدونة RAZOR.

ما الذي يتم تزويره

• task_struct->comm: عبر PR_SET_NAME
• argv[0]: عبر الكتابة المباشرة على المكدس
• سطر الأوامر (/proc/$PID/cmdline): عبر PR_SET_MM_ARG_START/END
• البيئة (/proc/$PID/environ): عبر PR_SET_MM_ENV_START/END
• مسار الملف التنفيذي (/proc/$PID/exe): عبر PR_SET_MM_EXE_FILE
• مناطق VMA المدعومة بملفات (/proc/$PID/maps): تُستبدل بذاكرة مجهولة
• رؤية مساحة أسماء العملية: عبر unshare

كيف يعمل

يعمل خط الأنابيب بترتيب صارم تحدده التبعيات بين أنظمة النواة الفرعية التي يتم التلاعب بها:

1. استبطان ELF: يحلل المتجه المساعد عند _start لحل PHT والحصول على نطاقات العناوين الافتراضية لجميع مقاطع PT_LOAD الثلاثة
2. قراءة بيانات الاعتماد: getresuid / getresgid لتخزين UIDs و GIDs الأصلية لاستعادتها لاحقًا
3. تصعيد UID: setresuid(0,0,0) إذا كان أي من UIDs الثلاثة يساوي 0
4. تصعيد القدرات: ينسخ المجموعة المسموح بها إلى المجموعتين الفعّالة والقابلة للتوريث عبر capget/capset
5. تزوير الهوية:
   • prctl(PR_SET_NAME) → يستبدل task_struct->comm
   • كتابة مباشرة على المكدس عند [rsp+8] → تستبدل argv[0]
   • prctl(PR_SET_DUMPABLE, 0) → يحجب الوصول إلى و من العمليات غير المتمتعة بامتيازات

mmap trampoline

يفشل PR_SET_MM_EXE_FILE مع EBUSY طالما أن أي VMA لا يزال مدعومًا بالملف التنفيذي الأصلي. وبما أنه لا يمكن إلغاء تعيين مقطع .text بينما يكون RIP بداخله، فإن إخفاء الهوية يعمل من صفحة مجهولة مؤقتة:

1. تخصيص صفحة مجهولة بحجم 4096 بايت (mmap)
2. نسخ كود إخفاء الهوية (mm_start→mm_end) وبيانات تعريف المقاطع إليها
3. جعل الصفحة قابلة للتنفيذ (mprotect)
4. القفز إليها: يغادر RIP مقطع .text
5. لكل مقطع من مقاطع PT_LOAD الثلاثة: mmap منطقة مجهولة جديدة → memcpy لمحتويات المقطع → munmap للأصل → mremap للنسخة المجهولة إلى العنوان الأصلي → mprotect لاستعادة الأذونات الأصلية
6. العودة إلى .text المجهول الآن، وإلغاء تعيين صفحة trampoline

الملف التنفيذي هو ELF ثابت بدون مفسّر، لذا فإن تخطيط VMA وقت التشغيل حتمي بالكامل: ثلاثة مقاطع PT_LOAD، والمكدس، و vDSO الخاص بالنواة.

البناء

nasm -f elf64 darkcloak.asm -o darkcloak.o
ld darkcloak.o -o darkcloak

الإعداد

تُحدَّد أهداف التزوير وقت الترجمة في قسم .data. القيم الافتراضية تنتحل شخصية sshd:

mimic_name    db 'sshd', 0
mimic_argv    db './sshd', 0
mimic_exe     db '/usr/sbin/sshd', 0
mimic_cmdline db '/usr/sbin/sshd', 0, '-D', 0, '[email protected]', 0, ...
mimic_environ db 'LANG=en_US.UTF-8', 0, 'NOTIFY_SOCKET=/run/systemd/notify', 0, ...

لانتحال شخصية عملية مختلفة، حدّث هذه القيم قبل البناء.

الاستخدام

./darkcloak

يتطلب CAP_SYS_RESOURCE و CAP_SETUID و CAP_SETGID و CAP_SETPCAP في المجموعة المسموح بها. إذا كان CAP_SYS_RESOURCE غائبًا، يتم تخطي كتلة تزوير MM بالكامل (إخفاء هوية VMA + تبديل EXE_FILE). إذا كان CAP_SETPCAP غائبًا، تتراجع الأداة من PR_SET_SECUREBITS إلى PR_SET_KEEPCAPS.

التحقق

./darkcloak &
PID=$!

cat /proc/$PID/comm
readlink /proc/$PID/exe
cat /proc/$PID/cmdline | tr '\0' ' '
cat /proc/$PID/environ | tr '\0' '\n' | head -3
cat /proc/$PID/maps | head -5
cat /proc/$PID/status | grep -E 'Uid|Gid|Cap'
ps aux | grep $PID

إخلاء المسؤولية

نُشر حصريًا لأغراض تعليمية وبحثية. استخدمه فقط على الأنظمة التي تملكها أو لديك تفويض كتابي صريح لاختبارها.