Tyton

このプロジェクトはアーカイブされました

Linux 4.4.0-31+ 向けカーネルモードルートキットハンター

詳細は Tytonのウェブサイト をご覧ください。

検出される攻撃

隠しモジュール

システムコールテーブルフッキング

ネットワークプロトコルフッキング

Netfilter フッキング

ゼロ化されたプロセスiノード

プロセス Fops フッキング

割り込みディスクリプタテーブルフッキング

 

追加機能

通知: ユーザー（私自身も含む）はjournaldログを積極的に監視していないため、ユーザーランド通知デーモンが含まれており、libnotifyを使用してjournaldログを監視し、ユーザーに表示します。通知はインストール後にXDG自動起動によって有効になります。そのため、使用しているDMに/etc/xdg/autostartがない場合は失敗します。

DKMS: ArchおよびFedora/CentOS向けにDKMS（Dynamic Kernel Module Support）が追加されました（近い将来の拡大を検討中）。DKMSにより、カーネルアップグレード時にカーネルモジュールの（ほぼ）シームレスなアップグレードが可能になります。これは主に、ローリングリリースを提供する、または頻繁にカーネルをアップグレードするディストリビューションで重要です。

インストール

依存関係

• Linux Kernel 4.4.0-31 以上
• 対応するLinux Kernel ヘッダー
• GCC
• Make
• Libnotify
• Libsystemd
• Package Config
• GTK3

ソースから

Ubuntu/Debian/Kali

1. sudo apt install linux-headers-$(uname -r) gcc make libnotify-dev pkg-config libgtk-3-dev libsystemd-dev
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

注意: Ubuntu 14.04 では、libsystemd-dev は libsystemd-journal-dev という名前です。

Arch

1. sudo pacman -S linux-headers gcc make libnotify libsystemd pkgconfig gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

注意: AUR経由でTytonをインストールすることをお勧めします。そうすればDKMSの恩恵を受けられます。

Fedora/CentOS

1. dnf install kernel-devel gcc make libnotify libnotify-devel systemd-devel gtk3-devel gtk3
2. git clone https://github.com/nbulischeck/tyton.git
3. cd tyton
4. make
5. sudo insmod tyton.ko

カーネルモジュール引数

カーネルモジュールは、挿入時にコマンドラインから特定のタイムアウト引数を渡すことができます。これを行うには、sudo insmod tyton.ko timeout=X コマンドを実行します。Xは、カーネルモジュールが再度スキャンを実行するまでに待機する分数です。

AUR

TytonはAURで入手可能です こちら。任意のAURヘルパーを使用してインストールできます:

• yaourt -S tyton-dkms-git
• yay -S tyton-dkms-git
• pakku -S tyton-dkms-git