Tyton

Questo Progetto È Ora Archiviato

Cacciatore di rootkit in modalità kernel Linux per 4.4.0-31+.

Per maggiori informazioni, visita il sito web di Tyton.

Attacchi Rilevati

Moduli Nascosti

Hooking della Tabella delle Syscall

Hooking del Protocollo di Rete

Hooking di Netfilter

Inode di Processo Azzerati

Hooking delle Fops di Processo

Hooking della Tabella dei Descrittori di Interrupt

 

Funzionalità Aggiuntive

Notifiche: Gli utenti (incluso me stesso) non monitorano attivamente i loro log journald, quindi è stato incluso un demone di notifica in spazio utente per monitorare i log journald e mostrarli all'utente tramite libnotify. Le notifiche sono abilitate dopo l'installazione tramite XDG autorun, quindi se il tuo DM non ha /etc/xdg/autostart fallirà.

DKMS: Il supporto dinamico dei moduli del kernel è stato aggiunto per Arch e Fedora/CentOS (in cerca di espansione nel prossimo futuro). DKMS consente l'aggiornamento (quasi) senza interruzioni dei moduli del kernel durante gli aggiornamenti del kernel. Questo è principalmente importante per le distribuzioni che forniscono rilasci continui o aggiornano frequentemente il kernel.

Installazione

Dipendenze

• Kernel Linux 4.4.0-31 o superiore
• Header del kernel Linux corrispondenti
• GCC
• Make
• Libnotify
• Libsystemd
• Package Config
• GTK3

Dal Sorgente

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: Per Ubuntu 14.04, libsystemd-dev è chiamato libsystemd-journal-dev.

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Nota: Si consiglia di installare Tyton tramite AUR per poter beneficiare di DKMS.

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

Argomenti del Modulo del Kernel

Il modulo del kernel può ricevere un argomento specifico di timeout durante l'inserimento tramite riga di comando.

Per fare ciò, esegui il comando sudo insmod tyton.ko timeout=X dove X è il numero di minuti che desideri che il modulo del kernel attenda prima di eseguire nuovamente la scansione.

AUR

Tyton è disponibile su AUR qui.

Puoi installarlo usando l'helper AUR di tua scelta:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git