یک سوال از گروه امنیت - rootkit

[lord.t]

با سلام

دوستان میتوانند به صورت ساده در مورد rootkitها توضیح مختصری بدهند..
و اصولا از لحاظ تکنیکی چه روشی برای مقابله با اونها وجود دارد..

به این لینک یک نظری بیاندازید..http://kernelnewbies.org/KernelProjects/VirtRootkitBlocker
این یکی از پروژه های اپن کرنل است به نظرتون میتوانیم به صورت همکاری مشترک اون رو حلش کنیم؟

موفق باشید

[M0$£€Μ]

RootKit چیست ؟
RootKitها برنامه هایی هستند كه از نظر ساختار كاری بسیار شبیه Trojan ها و Backdoor ها هستند ولی با این تفاوت كه شناسایی RootKit بسیار مشكلتر از درب های پشتی است زیرا RootKit ها علاوه بر اینكه به عنوان یك برنامه كاربردی خارجی مثل شنونده Netcat و ابزارهای درب پشتی مثل Sub7 بر روی سیستم اجرا می شوند بلكه جایگزین برنامه های اجرایی مهم سیستم عامل و در گاهی مواقع جایگزین خود هسته كرنل می شوند و به هكرها این اجازه را می دهند كه از طریق درب پشتی و پنهان شدن در عمق سیستم عامل به آن نفوذ كنند و مدت زیادی با خیال راحت با نصب ردیابها ( Sniffer ) و دیگر برنامه های مانیتورینگ بر روی سیستم اطلاعاتی را كه نیاز دارند بدست آورند. در دنیای هكرها دو نوع RootKit اصلی وجود دارد كه هر كدام تعریف جداگانه ای دارند.

[hmm]

بصورت ساده روتکیتها با هوک توابع (اکثراً) کرنل آدرس اجرای برنامه رو به جای دلخواه برده و پس از انجام کار خود دوباره برنامه روند طبیعی خود رو طی میکنه ...
همیشه روتیکتها بد نیستند مثلا اکثر آنتی ویروسها این روتین ها رو دارند و  با هوک توابعی مانند کپی فایل یه نظارت بروی محتویات انجام میدن ولی روند اجرای کار رو دستکاری نمیکنند.
یا مثلا متدهای ضددیباگ برای برنامه ها و یا قفلهای نرم افزاری مدرن از این تکنیک ها استفاده میکنن
دریک مثال کاملا ملموس شرکت سونی از یک روتکیت برای عدم اجرای سی دی های رایت شده بروی دستگاههای بازی خود استفاده کرده بود که کلی مناقشه درست کرد...
پر واضح است که روتکیت رو هم میشه برای مقاصد منفی استفاده کرد ولی کلا این درگیری وجود داره که هیچکس نتونسته بگه آخرش روتکیت مفیده یا مضر!!!

[L0pht]

خوب یه تعریف ساده :
عمده تقسیم بندی یه روتکیت به 2 شکل هست یکی kernel mode و یکی OS mode . سری اولی مثل یه سوپی می مونه که اجزایی اون سمی باشه مثلا قارچ سمی توش پخته شده باشه اما سری دومی  مثل یه سوپی می مونه که توش سم ریخته شده باشه.
چون تاپیک امنیتی هست اول روش های شناخت و راهکار های مقابله را می گم :
همیشه Rootkit scanner ها و کلا نرم افزارها و defence هایی که موجو د است برای مقابله به این شکل program میشن:
1-اینکه با مقایسه MD5 checksum ها
2- فایل های پیشفرضی که rootkit ها به موجود میارن یا لازمه اجرا آنها هست مثل:

55808 Trojan - Variant A
ADM W0rm
AjaKit
aPa Kit
Apache Worm
Ambient (ark) Rootkit
Balaur Rootkit
BeastKit
beX2
BOBKit
CiNIK Worm (Slapper.B variant)
Danny-Boy's Abuse Kit
Devil RootKit
Dica
Dreams Rootkit
Duarawkz Rootkit
Flea Linux Rootkit
FreeBSD Rootkit
Fuck`it Rootkit
GasKit
Heroin LKM
HjC Rootkit
ignoKit
ImperalsS-FBRK
Irix Rootkit
Kitko
Knark
Li0n Worm
Lockit / LJK2
mod_rootme (Apache backdoor)
MRK
Ni0 Rootkit
NSDAP (RootKit for SunOS)
Optic Kit (Tux)
Oz Rootkit
Portacelo
R3dstorm Toolkit
RH-Sharpe's rootkit
RSHA's rootkit
Scalper Worm
Shutdown
SHV4 Rootkit
SHV5 Rootkit
Sin Rootkit
Slapper
Sneakin Rootkit
Suckit
SunOS Rootkit
Superkit
TBD (Telnet BackDoor)
TeLeKiT
T0rn Rootkit
Trojanit Kit
URK (Universal RootKit)
VcKit
Volc Rootkit
X-Org SunOS Rootkit
zaRwT.KiT Rootkit

3-پرمیشن های فایل ها
4-چک کردن یکسری string ها یا رشته های آلوده که ممکنه در ماژول های LKM یا KLD بوجود اومده باشن.
5-فایل های مخفی
6-چک کردن و اسکن در فایل های باینری و plaintext ها
و .....

4 نوع روتکیت داریم :
1-روتکیت های ماندگار (Persistent Rootkits)
یه حالتی دارن که توی پروسه ها و دایمون هایی که در Startup سیستم و background باید اجرا بشن قرار دارن و معمولا یه سری کد هست که باید یعد از هر بار راه اندازی run بشن.
2-روتکیت های مبتنی بر حافظه اصلی(Memory-Based Rootkits)
اینا temperory هستن و بیشتر مخصوص سرورها.
3-روتکیت های در حد مود کاربری و سیستم عامل User-mode Rootkits
معمولا برای سیستم های ویندوزی نوشته میشن و بیشتر با service ها و API های تحت کرنل کار می کنن . گاهی وقتا هم در بطن IE و CMD یا هر app تحت ویندوز یا لینوکس خوابیدن.اما این سری بیشتر برای ویندوز هستن.
4-روتکیت های تحت هسته (kernel-mode rootkits)
خطرناک ترینشون این نامردا هستن.
بیشتر با ساختار پردازشی و متد های process injection کار می کنن به این شکل که یه پروسه پدر را فرض کنید که اینا خود را در زیرمجموعه یا Child های اون جامیزنن و گاهی وقتا هم تحت یک پروسه مورد اطمینان که known شده run میشن و حتی گاهی موارد با اجرا کرد فلان فرمانی که باید پروسه 1 را صدا بزنه با همکاری این دوستان پروسه 2 صدا زده میشه.

[L0pht]

حالا یه سوال من از دوستان.
windows based rootkit ها تحت چه مکانیزم و روشی نوشته شدن ؟ در حالی که windows kernels protect هست.
مثل:

-AFX Rootkit 2005
-BootRootkit (eEye)
-FakeNetstat
-Hacker Defender 1.0.0 revisited
-He4Hook v2.1.5b6
-NuclearRootkit v1.0
-Vanquish v0.2.1
Download: http://rapidshare.com/files/31789578/rpwa.rar
Password: d4rk-r3v-t34m

[hmm]

عمدتا روتکیتها کرنل رو دستکاری نمیکنند(فایل های فیزیکی) همونطوری که گفتی اکثرا از Process Injection استفاده میکنند ... و عمدتا پروتکشن ویندوز جلوی اینکار رو نمیگیرد . قبلا هم عرض کرده بودم روتکیت عمدتا مخرب نیست و اگر عملیاتی نظیر Process Injection  توسط پروتکشنها جلوگیری بشه خیلی از سرویس های سیستم عامل مختل میشه. مثلا Hot Patching ویندوز از روش Process Injection انجام میشه.
کلا منظورت از این سوال رو نفهمیدم.

[hmm]

یه آنتی روتکیت برای لینوکس
http://www.antirootkit.com/software/Zeppoo.htm

[lord.t]

با سلام

یک روتکیت متن باز جدیدا منتشر شده و در دسترس است به نام DR Rootkit

دوستان اگر روش کارش رو در بیارند خیلی خوبه..
بنا به اقوال از رجیستری به نام Debug که در پردازنده های اینتل است استفاده میکنه که هدف اونها استفاده جهت امور دیباگ است..
http://www.immunityinc.com/resources-freesoftware.shtml

فکر میکنم مرجع مناسبی برای یادگیری باشه
موفق باشید