bcoles/rootkit-signal-hunterRileva i rootkit Linux che utilizzano i segnali per elevare i privilegi dei processi.
Rileva i rootkit Linux che usano i segnali per elevare i privilegi di processo.
Alcuni rootkit installano gestori di segnali che ascoltano segnali specifici per elevare i privilegi. Questo strumento può identificare questi rootkit inviando segnali e osservando il passaggio dell'UID a root. Opzionalmente avvia una shell di root.
Testato con:
666)Puoi scaricare gli ultimi binari precompilati dalla pagina delle Release; oppure compilare l'ultima versione pre-release dal sorgente:
git clone https://github.com/bcoles/rootkit-signal-hunter && \
cd rootkit-signal-hunter && \
cargo build --release
rootkit-signal-hunter -- [OPTIONS]
--min <MIN>: Numero minimo del segnale (predefinito: 0)--max <MAX>: Numero massimo del segnale (predefinito: 64)-s, --shell: Avvia una shell di root (se rilevato)-t, --threads: Numero di thread di lavoro (predefinito: 16)-p, --pid: ID del processo a cui inviare i segnali (predefinito: $$)-v, --verbose: Abilita output dettagliato (verbose)[!NOTE] L'implementazione di
--pidutilizza$$per rappresentare l'ID di un processo appena generato. Questo fallirà su shell non conformi a POSIX come Fish.
Rootkit come Singularity
e Diamorphine consentono l'escalation
dei privilegi usando qualsiasi ID di processo e possono essere rilevati
banalmente con le opzioni predefinite (-s avvia una shell di root):
rootkit-signal-hunter -s
Rootkit come KoviD richiedono che venga
fornito uno specifico ID di processo tramite il flag -p / --pid:
rootkit-signal-hunter -s --pid 666
[!NOTE] Questo comporta il rischio di terminare il processo legittimo con ID
666(se l'utente corrente dispone dei permessi necessari).
Questo progetto è concesso in licenza secondo i termini della Licenza MIT. Per i dettagli, consulta il file LICENSE.
Un ringraziamento a David Reguera Garcia (Dreg), che ha implementato un rilevamento simile basato sui segnali come parte di lsrootkit.
Copyright © 2025, bcoles