matheuzsecurity/imperiusMachen Sie einen Linux-Kernel-Rootkit wieder sichtbar.
Machen Sie ein LKM-Rootkit wieder sichtbar.
Dabei wird die Adresse der "module_show"-Funktion eines Rootkits, z. B. des Diamorphine-Rootkits, ermittelt und verwendet, um es aufzurufen und wieder zu lsmod hinzuzufügen, sodass ein LKM-Rootkit entfernt werden kann.
Die Funktionsadresse kann in sehr einfachen Kerneln mit /sys/kernel/tracing/available_filter_functions_addrs ermittelt werden, dies ist jedoch erst ab Kernel 6.5x verfügbar.
Eine Alternative dazu ist das Scannen des Kernel-Speichers und das spätere erneute Hinzufügen zu lsmod, sodass es entfernt werden kann, wie z. B. ModTracer: https://github.com/MatheuZSecurity/ModTracer (Es gibt jedoch noch Möglichkeiten, dies zu umgehen – vielleicht werde ich bald einen Beitrag dazu veröffentlichen).
Zusammengefasst: Dieses LKM missbraucht die Funktion von LKM-Rootkits, die die Möglichkeit bieten, wieder sichtbar zu werden.
Treten Sie der Rootkit Researchers Group bei
