cr4sh/windowsregistryrootkitRootkit a livello di kernel, che risiede all'interno dei dati dei valori del registro di Windows
Rootkit kernel, che risiede all'interno dei dati di un valore del registro di Windows.
Di Oleksiuk Dmytro (noto come Cr4sh)
http://twitter.com/d_olex
http://blog.cr4.sh
[email protected]
Il rootkit sfrutta la vulnerabilità zero day in win32k.sys (buffer overflow nella funzione win32k!bInitializeEUDC()) per ottenere l'esecuzione all'avvio del sistema operativo.
Caratteristiche:
Backdoor di rete basata su NDIS (+ meterpreter/bind_tcp).
Per evitare il rilevamento di codice eseguibile sconosciuto, si sposta in memoria sopra le sezioni scartabili di alcuni driver predefiniti di Windows.
Completamente non rilevabile dai comuni strumenti anti-rootkit.
Funziona su Windows 7 (SP0, SP1) x86.
Questo rootkit è stato presentato originariamente alla conferenza ZeroNights 2012 durante il mio intervento.
Consultare le slide e i video per maggiori informazioni: https://raw.githubusercontent.com/Cr4sh/blog/master/windows-registry-rootkit/Applied-anti-forensics.pdf
