matheuzsecurity/imperiusاجعل روت كيت نواة لينكس مرئيًا مرة أخرى.
اجعل جذر نواة LKM مرئيًا مرة أخرى.
يتضمن ذلك الحصول على عنوان دالة "module_show" من جذر نواة، مثل جذر diamorphine، واستخدامه لاستدعائها، وإعادتها إلى lsmod، مما يجعل من الممكن إزالة جذر LKM.
يمكننا الحصول على عنوان الدالة في النوى البسيطة جدًا باستخدام /sys/kernel/tracing/available_filter_functions_addrs، ومع ذلك، فهو متاح فقط من النواة 6.5x فصاعدًا.
بديل لذلك هو مسح ذاكرة النواة، ثم إضافتها مرة أخرى إلى lsmod، بحيث يمكن إزالتها، مثل ModTracer: https://github.com/MatheuZSecurity/ModTracer (ولكن لا تزال هناك طرق لتجاوزها، ربما سأقدم منشورًا عنها قريبًا).
لذا باختصار، يستغل هذا LKM وظيفة جذور النواة LKM التي تمتلك القدرة على أن تصبح مرئية مرة أخرى.
انضم إلى مجموعة باحثي الجذور الخفية
