cr4sh/windowsregistryrootkitRootkit de kernel que reside nos dados dos valores do registro do Windows
Rootkit de kernel, que vive dentro dos dados de valor do registro do Windows.
Por Oleksiuk Dmytro (também conhecido como Cr4sh)
http://twitter.com/d_olex
http://blog.cr4.sh
[email protected]
O rootkit utiliza a vulnerabilidade zero day no win32k.sys (estouro de buffer na função win32k!bInitializeEUDC()) para obter execução na inicialização do sistema operacional.
Recursos:
Backdoor de rede baseado em NDIS (+ meterpreter/bind_tcp).
Para evitar a detecção de código executável desconhecido, ele se move na memória sobre seções descartáveis de alguns drivers padrão do Windows.
Completamente indetectável por ferramentas anti-rootkit públicas.
Funciona no Windows 7 (SP0, SP1) x86.
Este rootkit foi originalmente apresentado na conferência ZeroNights 2012 durante a minha palestra.
Consulte os slides e vídeos para mais informações: https://raw.githubusercontent.com/Cr4sh/blog/master/windows-registry-rootkit/Applied-anti-forensics.pdf
