ksentinel - Monitor de Integridade de Syscalls do Kernel

Visão Geral

O ksentinel monitora funções críticas do kernel e a tabela de syscalls em busca de modificações não autorizadas. Ele detecta syscalls comuns que são alvo da maioria dos rootkits, incluindo hooks ftrace, kprobes e sequestro da tabela de syscalls.

Funcionalidades

• Verificação de integridade do prólogo de funções (baseada em hash FNV-1a)
• Monitoramento da tabela de chamadas do sistema (512 entradas)
• Verificação do MSR LSTAR (ponto de entrada de syscall x86_64)
• Proteção anti-remoção com mecanismo de chave de desbloqueio
• Monitoramento contínuo com intervalos configuráveis

NOTA: o ksentinel está em sua versão inicial; mais melhorias virão em commits futuros.

Funções Monitoradas

Camada VFS:

• filldir, filldir64, do_getdents64, vfs_read, vfs_write, vfs_open

Pilha de Rede:

• tcp4_seq_show, tcp6_seq_show, udp4_seq_show, udp6_seq_show

Credenciais:

• commit_creds, prepare_kernel_cred

Sistema de Módulos:

• load_module, free_module

Infraestrutura de Rastreamento:

• register_kprobe, register_ftrace_function, ftrace_set_filter

Mais de 500 wrappers adicionais de syscall via correspondência de prefixos.

Compilação

make

Durante a compilação, uma chave de desbloqueio aleatória de 32 caracteres é gerada e exibida. Anote-a imediatamente. Esta chave está embutida no módulo compilado e não é armazenada externamente.

Mantenha-a segura se a proteção anti-remoção estiver ativada.

Instalação

sudo make install

O módulo carrega oculto do lsmod com a proteção anti-remoção ativada por padrão.

Uso

Carregamento Manual

sudo insmod ksentinel.ko

Usando o Script de Gerenciamento

sudo ./ksentinel-manager.sh load      # load module
sudo ./ksentinel-manager.sh status    # check status
sudo ./ksentinel-manager.sh watch     # monitor live
sudo ./ksentinel-manager.sh violations # view alerts

Monitorando Logs

dmesg -wT | grep ksentinel

Desbloqueando o Módulo

Quando a proteção anti-remoção está ativada, o módulo deve ser desbloqueado antes da remoção:

echo "your_32char_key" > /proc/.ksctl

Ou use o gerenciador:

sudo ./ksentinel-manager.sh unlock

Removendo o Módulo

sudo rmmod ksentinel

Parâmetros do Módulo

Exemplo com parâmetros personalizados:

sudo insmod ksentinel.ko period_ms=5000 anti_unload=false

Considerações de Desempenho

O ksentinel realiza verificações periódicas de integridade com base no parâmetro period_ms.

Intervalos menores proporcionam detecção mais rápida, mas aumentam o uso da CPU. O intervalo padrão (2000ms) tem impacto mínimo em sistemas modernos.

Exemplos de Detecção

Hook Inline Detectado

ksentinel: [CHANGE - HOOK PATTERN] sys_getdents64 @ 0xffffffff81234567
  baseline=1234567890abcdef  current=fedcba0987654321
  bytes: e9 ab cd ef 12 90 90 90 ...
  flags: JMP/CALL_DETECTED ENDBR64_PREFIX

Hook na Tabela de Syscalls

ksentinel: [SCT HOOK] syscall[78] expected=0xffffffff81111111 got=0xffffffffa0222222 (fake_getdents+0x0)

Violação do LSTAR

ksentinel: [LSTAR TAMPERED] baseline=0xffffffff81800000 now=0xffffffffa0300000 (evil_syscall_entry+0x0)

Detecção de Rootkits Conhecidos

O ksentinel pode detectar modificações feitas por:

• PUMAKIT - ftrace-based hooking (18 syscalls)
• Diamorphine - syscall table patching
• KoviD - kprobes-based hiding

A detecção depende do carregamento do ksentinel antes do rootkit.

Requisitos

Configuração do Kernel:

• CONFIG_KALLSYMS=y
• CONFIG_KPROBES=y
• CONFIG_MODULES=y

Kernels Suportados:

• Linux 5.4 até 6.12+
• Arquitetura x86_64 (verificação LSTAR)
• Suporte ARM64 (sem verificações LSTAR)

Limitações

1. Apenas Detecção - Não previne ou remove rootkits
2. Suposição de Linha de Base - Assume que o kernel está limpo no momento do carregamento do módulo
3. Condição de Corrida - Rootkits carregados antes do ksentinel não podem ser detectados
4. Evasão - Rootkits sofisticados podem alvejar o próprio código de monitoramento

Considerações de Segurança

• Carregue o ksentinel o mais cedo possível durante a inicialização
• Armazene a chave de desbloqueio de forma segura offline

Solução de Problemas

O Módulo Não Carrega

Verifique a configuração do kernel:

grep -E "KALLSYMS|KPROBES" /boot/config-$(uname -r)

O Módulo Não Descarrega

O módulo está oculto com proteção anti-remoção. Desbloqueie primeiro:

sudo ./ksentinel-manager.sh unlock

Desenvolvimento

make clean          # clean build artifacts
make                # compile module
make install        # load module
make uninstall      # unload module

Contribuição

Contribuições são bem-vindas. Mantenha o estilo de código e adicione testes para novas funcionalidades.

Licença

GPL-2.0-only

Este programa é software livre licenciado sob a GPL versão 2.0. Quaisquer modificações devem preservar a atribuição ao autor original e ser distribuídas sob a mesma licença.

Consulte o arquivo LICENSE para os termos completos.

Autor

MatheuZSecurity

Comunidade de Pesquisadores de Rootkit: https://discord.gg/66N5ZQppU7

Aviso Legal

Esta ferramenta é para pesquisa de segurança e administração de sistemas. Use com responsabilidade. O autor não se responsabiliza por uso indevido ou danos causados por este software.