Rootkit Signal Hunter

シグナルを使用してプロセス権限を昇格させる Linux ルートキットを検出します。

一部のルートキットは、特定のシグナルを待ち受けて権限を昇格するシグナルハンドラをインストールします。 このツールは、シグナルを送信して UID が root に切り替わるのを観測することで、これらのルートキットを特定できます。 必要に応じて root シェルを起動します。

検証済み:

• Singularity 5b6c4b6 (2025-10-19) Ubuntu 24.04 kernel 6.8.0-31-generic (x64) で
• Diamorphine 2337293 (2023-09-20) Ubuntu 22.04 kernel 5.19.0-38-generic (x64) で
• Codeine 9644336 (2025-09-02) Ubuntu 22.04 kernel 5.19.0-38-generic (x64) で
• KoviD 9b67e46 (2025-10-14) Ubuntu 24.04 kernel 6.8.0-31-generic (x64) で
  • (検出を成功させるには、ハードコードされたターゲット PID 666 を知っている必要があります)

インストール

最新のプレビルドバイナリは リリースページ からダウンロードできます。または、ソースから最新のプレリリース版をビルドすることもできます:

git clone https://github.com/bcoles/rootkit-signal-hunter && \
cd rootkit-signal-hunter && \
cargo build --release

使い方

rootkit-signal-hunter -- [OPTIONS]

オプション

• --min <MIN>: 最小シグナル番号 (デフォルト: 0)
• --max <MAX>: 最大シグナル番号 (デフォルト: 64)
• -s, --shell: ルートシェルを起動する (検出された場合)
• -t, --threads: ワーカースレッド数 (デフォルト: 16)
• -p, --pid: シグナルを送信するプロセス ID (デフォルト: $$)
• -v, --verbose: 詳細出力を有効にする

[!NOTE] --pid の実装は、新しく生成されたプロセスのプロセス ID を表すために $$ を使用します。 これは、Fish のような POSIX 非準拠シェルでは失敗します。

例

Singularity や Diamorphine のようなルートキットは、任意のプロセス ID を使用した権限昇格を許可しており、デフォルトのオプションで簡単に検出できます (-s は root シェルを起動します):

rootkit-signal-hunter -s

KoviD のようなルートキットは、-p / --pid フラグで特定のプロセス ID を指定する必要があります:

rootkit-signal-hunter -s --pid 666

[!NOTE] ID 666 の正当なプロセスを終了させるリスクがあります (現在のユーザーに必要な権限がある場合)。

ライセンス

このプロジェクトは MIT ライセンスの下でライセンスされています。詳細については LICENSE ファイルを参照してください。

謝辞

lsrootkit の一部として同様のシグナルベースの検出を実装した David Reguera Garcia (Dreg) に感謝します。

著作権

Copyright © 2025, bcoles