Projeto RVBBIT: Prova de Conceito de Rootkit para Kernel Linux

📖 Visão Geral

O Projeto RVBBIT é uma prova de conceito educacional que demonstra técnicas avançadas de ocultação (stealth) usadas por rootkits de kernel Linux. Destina-se exclusivamente à pesquisa em cibersegurança, treinamento defensivo e à compreensão de como os rootkits modernos operam.

Este projeto ilustra:

• Manipulação Direta de Objetos do Kernel (DKOM) para ocultar processos, arquivos e conexões de rede.
• Interceptação de chamadas de sistema (sys_kill, sys_getdents64, sys_openat) por meio da modificação direta da tabela de syscalls (contornando a proteção contra escrita via write_cr0).
• Contorno de ferramentas de detecção baseadas em eBPF.
• Mascaramento como um driver ACPI legítimo do kernel.
• Mecanismos de persistência via systemd e modules-load.d.

⚠️ AVISO: Este software é intencionalmente NEUTRALIZADO. Ele NÃO contém NENHUM payload de mineração de criptomoedas, NENHUMA propagação de rede (worm) e NENHUM exploit de escalonamento de privilégios. Todas as capacidades potencialmente nocivas foram substituídas por simulações inofensivas. O código permanece funcional para demonstrar stealth, mas é incapaz de causar danos reais.

---

🚨 Aviso Legal e Ético

Este projeto é fornecido "COMO ESTÁ" apenas para fins educacionais e defensivos.
O autor não endossa o uso malicioso.
Você é o único responsável por cumprir todas as leis e regulamentos aplicáveis na sua jurisdição.
Não implante este software em nenhum sistema que você não possua ou para o qual não tenha permissão explícita por escrito para testar.

Ao utilizar este software, você concorda que o autor não pode ser responsabilizado por quaisquer danos ou questões legais decorrentes do seu uso.

---

✨ Recursos (Somente Demonstração)

Recurso	Descrição	Status neste Repo
Ocultação de Módulo	Remove-se de /proc/modules e lsmod via DKOM.	✅ Ativado
Ocultação de Processos	Oculta um processo simulado de "minerador" de ps e /proc.	✅ Ativado
Ocultação de Arquivos	Oculta arquivos com um prefixo específico das listagens de diretórios.	✅ Ativado
Ocultação de Porta TCP	Oculta conexões para a porta 3333 de /proc/net/tcp.	✅ Ativado
Contorno de eBPF	Bloqueia o carregamento de programas eBPF não assinados (anti‑detecção).	✅ Ativado
Persistência	Instala um serviço systemd e uma entrada em modules‑load.d.	✅ Ativado
Mineração Real de Criptomoedas	Payload de mineração Monero (XMR).	❌ REMOVIDO (simulado)
Propagação de Rede	Worm de força bruta via SSH e autopropagável.	❌ REMOVIDO

---

🛠️ Instruções de Compilação

Pré-requisitos

• Cabeçalhos do kernel Linux (ex.: linux-headers-$(uname -r))
• build-essential, make

Compilação

git clone https://github.com/buter-chkalova/project-rvbbit.git
cd project-rvbbit
make