Kernel rootkit, जो Windows registry value data के अंदर रहता है।
Oleksiuk Dmytro (उर्फ Cr4sh) द्वारा
http://twitter.com/d_olex
http://blog.cr4.sh
[email protected]

Rootkit OS startup पर execution प्राप्त करने के लिए win32k.sys में zero day vulnerability (function win32k!bInitializeEUDC() में buffer overflow) का उपयोग करता है।

विशेषताएँ:

NDIS-आधारित network backdoor (+ meterpreter/bind_tcp)।
अज्ञात executable code detection से बचने के लिए यह स्वयं को memory में कुछ default Windows drivers के discardable sections के ऊपर ले जाता है।
सार्वजनिक anti-rootkit tools द्वारा पूरी तरह से undetectable।
Windows 7 (SP0, SP1) x86 पर काम करता है।

diagram

यह rootkit मूल रूप से ZeroNights 2012 conference में मेरे talk के दौरान प्रस्तुत किया गया था।
अधिक जानकारी के लिए slides और videos देखें: https://raw.githubusercontent.com/Cr4sh/blog/master/windows-registry-rootkit/Applied-anti-forensics.pdf

WindowsRegistryRootkit

सबसे लोकप्रिय