روتكيت لينكس

روتكيت بسيط لنواة لينكس كُتب للمتعة، وليس للشر.

الوظائف

يمكن للروتكيت القيام بما يلي:

• منح صلاحيات الجذر (root) لعملية في مساحة المستخدم
• إخفاء عملية حسب رقمها (PID)
• إظهار عملية كانت مخفية سابقًا حسب رقمها (PID)
• إخفاء ملفات أو مجلدات حسب أسمائها
• إظهار ملفات أو مجلدات كانت مخفية سابقًا
• إخفاء نفسه
• إظهار نفسه
• الحماية من إلغاء التحميل من قبل المستخدم
• تعطيل حماية إلغاء التحميل

المنصات المدعومة

تم اختبار الروتكيت ليعمل على نوى لينكس 2.6.32-38 و 4.4.0-22 كما تقدمها أوبونتو في Ubuntu 10.04.4 LTS و Ubuntu 16.04 LTS على التوالي، ولكن يجب أن يكون نقله إلى النوى الواقعة بينهما، وكذلك الأحدث منها، أمرًا سهلاً للغاية.

يوجد بعض الأكواد الخاصة بالبنية المعمارية في الروتكيت وهي منفذة فقط لمعماريتي x86 و x86-64. هذا هو الكود الخاص بإيجاد جدول استدعاءات النظام، وتعطيل حماية الكتابة للذاكرة، وواحدة من طريقتَي ربط الدوال (function hooking). يجب أن يكون نقله إلى بنية معمارية جديدة أمرًا سهلاً للغاية، وبعض هذا الكود ليس ضروريًا بشكل صارم لعمل الروتكيت، على سبيل المثال يمكن إزالة طريقة الربط غير القابلة للنقل، لكن يجب أن تكون شخصًا مملًا جدًا إذا كنت مستعدًا لتفويت متعة ربط الدوال الذي يستبدل كود الآلة الخاص بدالة النواة المستهدفة بحيث تستدعي دالة الربط الخاصة بنا بدلاً منها.

تم اختبار الروتكيت فقط باستخدام نواة واحدة (CPU core)، لذا فقد يعمل أو لا يعمل بشكل صحيح على نظام متعدد الأنوية. من المرجح ألا يعمل جيدًا على نظام متعدد الأنوية لأن الروتكيت كُتب متوقعًا وجود خيط واحد فقط ينفذ أي شيء في أي وقت معين، لذا فهو يفتقر إلى عمليات القراءة/الكتابة الذرية والأقفال (mutexes) حول هياكل بيانات القوائم.

البناء

إعداد البيئة

شغّل جهازك الافتراضي (VM) المفضل.

حمّل وقم بتثبيت صورة أوبونتو المطلوبة:

بالنسبة لـ Ubuntu 10.04، قم بتصحيح عنوان مستودع الحزم:

sed -i -re 's/([a-z]{2}\.)?archive.ubuntu.com|security.ubuntu.com/old-releases.ubuntu.com/g' /etc/apt/sources.list

قم بتثبيت مترجم (compiler)، ورؤوس لينكس (Linux headers)، وكل ما هو مطلوب لبناء الروتكيت:

apt-get update
apt-get install build-essential

تأكد من عدم استدعاء apt-get upgrade، لأنه سيحدّث النواة، بينما تم اختبار الروتكيت فقط على إصدار النواة المثبت مسبقًا.

البناء الفعلي

make

الاستخدام

تحميل الروتكيت:

insmod rootkit.ko

استخدام الروتكيت:

$ ./client --help
Usage: ./client [OPTION]...

Options:
  --root-shell            Grants you root shell access.
  --hide-pid=PID          Hides the specified PID.
  --unhide-pid=PID        Unhides the specified PID.
  --hide-file=FILENAME    Hides the specified FILENAME globally.
                          Must be a filename without any path.
  --unhide-file=FILENAME  Unhides the specified FILENAME.
  --hide                  Hides the rootkit LKM.
  --unhide                Unhides the rootkit LKM.
  --help                  Print this help message.
  --protect               Protects the rootkit from rmmod.
  --unprotect             Disables the rmmod protection.

إلغاء تحميل الروتكيت:

./client --unhide
./client --unprotect
rmmod rootkit.ko

أنت مجنون تمامًا لنشر مثل هذا الكود الخبيث علنًا على الإنترنت، أنت حرفيًا تسلّح صغار القراصنة (script kiddies) بأسلحة نووية!!!1

ليس صحيحًا، فهناك العديد من المقالات على الإنترنت حول كيفية كتابة روتكيت لينكس مع توفير الكود المصدري الكامل، ناهيك عن مستودعات GitHub التي لا تُحصى.

المراجع

تم استخدام المواد التالية في كتابة هذا الروتكيت:

• Linux kernel code
• Linux kernel documentation
• Linux Loadable Kernel Module HOWTO
• WRITING A SIMPLE ROOTKIT FOR LINUX
• Modern Linux Rootkits 101
• Writing Modern Linux Rootkits 201 - VFS
• Linux Kernel Module example. Rickroll prank.

الترخيص

هذا المشروع مرخّص بموجب GPLv2.