Rootkit Signal Hunter

Обнаружение Linux-руткитов, использующих сигналы для повышения привилегий процессов.

Некоторые руткиты устанавливают обработчики сигналов, которые прослушивают определённые сигналы для повышения привилегий. Этот инструмент выявляет такие руткиты, отправляя сигналы и наблюдая за переключением UID на root. При необходимости запускает root-оболочку.

Протестировано с:

• Singularity 5b6c4b6 (2025-10-19) на Ubuntu 24.04, ядро 6.8.0-31-generic (x64)
• Diamorphine 2337293 (2023-09-20) на Ubuntu 22.04, ядро 5.19.0-38-generic (x64)
• Codeine 9644336 (2025-09-02) на Ubuntu 22.04, ядро 5.19.0-38-generic (x64)
• KoviD 9b67e46 (2025-10-14) на Ubuntu 24.04, ядро 6.8.0-31-generic (x64)
  • (для успешного обнаружения требуется знание жёстко заданного целевого PID 666)

Установка

Вы можете загрузить последние готовые бинарные файлы со страницы релизов или собрать последнюю предрелизную версию из исходников:

git clone https://github.com/bcoles/rootkit-signal-hunter && \
cd rootkit-signal-hunter && \
cargo build --release

Использование

rootkit-signal-hunter -- [OPTIONS]

Параметры

• --min <MIN>: Минимальный номер сигнала (по умолчанию: 0)
• --max <MAX>: Максимальный номер сигнала (по умолчанию: 64)
• -s, --shell: Запустить root-оболочку (если обнаружено)
• -t, --threads: Количество рабочих потоков (по умолчанию: 16)
• -p, --pid: Идентификатор процесса для отправки сигналов (по умолчанию: $$)
• -v, --verbose: Включить подробный вывод

[!NOTE] Реализация --pid использует $$ для обозначения идентификатора процесса вновь запущенного процесса. Это не сработает в оболочках, не соответствующих POSIX, таких как Fish.

Пример

Такие руткиты, как Singularity и Diamorphine, позволяют повышать привилегии с использованием любого идентификатора процесса и могут быть без труда обнаружены с параметрами по умолчанию (-s запускает root-оболочку):

rootkit-signal-hunter -s

Такие руткиты, как KoviD, требуют указания конкретного идентификатора процесса с помощью флага -p / --pid:

rootkit-signal-hunter -s --pid 666

[!NOTE] Это сопряжено с риском завершения легитимного процесса с ID 666 (если у текущего пользователя есть необходимые разрешения).

Лицензия

Этот проект распространяется под лицензией MIT. Подробности см. в файле LICENSE.

Благодарности

Особая благодарность Дэвиду Регуэре Гарсии (Dreg), который реализовал аналогичное обнаружение на основе сигналов в составе lsrootkit.

Авторские права

Авторские права © 2025, bcoles