LKM 루트킷을 다시 보이게 만드세요.
이는 루트킷(예: diamorphine 루트킷)에서 "module_show" 함수의 주소를 가져와 호출하여 lsmod에 다시 추가함으로써 LKM 루트킷을 제거할 수 있도록 합니다.
매우 간단한 커널에서는 /sys/kernel/tracing/available_filter_functions_addrs를 사용하여 함수 주소를 얻을 수 있지만, 이는 커널 6.5x부터만 사용 가능합니다.
이에 대한 대안은 커널 메모리를 스캔한 후 lsmod에 다시 추가하여 제거할 수 있도록 하는 것입니다. 예: ModTracer: https://github.com/MatheuZSecurity/ModTracer (하지만 이를 우회하는 방법은 여전히 존재합니다. 곧 관련 글을 작성할 예정입니다).
요약하자면, 이 LKM은 다시 보이게 되는 기능을 가진 LKM 루트킷의 함수를 악용합니다.
루트킷 연구자 그룹에 참여하세요
