cr4sh/windowsregistryrootkitRootkit noyau, qui réside dans les données des valeurs du registre Windows
Rootkit noyau, qui vit à l'intérieur des données de valeur du registre Windows.
Par Oleksiuk Dmytro (alias Cr4sh)
http://twitter.com/d_olex
http://blog.cr4.sh
[email protected]
Le rootkit exploite la vulnérabilité zero day dans win32k.sys (débordement de tampon dans la fonction win32k!bInitializeEUDC()) pour obtenir l'exécution au démarrage du système d'exploitation.
Fonctionnalités :
Backdoor réseau basée sur NDIS (+ meterpreter/bind_tcp).
Afin d'éviter la détection de code exécutable inconnu, il se déplace en mémoire au-dessus des sections jetables de certains pilotes Windows par défaut.
Totalement indétectable par les outils anti-rootkit publics.
Fonctionne sous Windows 7 (SP0, SP1) x86.
Ce rootkit a été présenté à l'origine lors de la conférence ZeroNights 2012 pendant ma présentation.
Voir les diapositives et les vidéos pour plus d'informations : https://raw.githubusercontent.com/Cr4sh/blog/master/windows-registry-rootkit/Applied-anti-forensics.pdf
