Blog elhacker.NET: Rootkits (II)

Rootkits (II)

jueves, 25 de marzo de 2010 | Publicado por Mateu Llull

En esta segunda parte del artículo de Rootkits, vamos a hablar sobre los distintos tipos de Rootkits que existen en Linux. Básicamente, podemos separarlos en 2 tipos:

KernelSpace Rootkits

Estos Rootkits, se cargan como un modulo de Kernel. Lo que les permite modificar estructuras del Kernel, hookear llamadas de sistema al más bajo nivel, etc.

UserSpace Rootkits

Estos rootkits trabajan el el espacio del usuario. Sus privilegios son menores al de los Rootkits de Kernel. Para poder trabajar, tienen que modificar archivos y/o librerias para poder trabajar correctamente. Son más fáciles de detectar que los Rootkits de Kernel.

Las principales tareas de un Rootkits son las de Ocultar procesos, ocultar archivos, ocultar conexiones a Internet, etc. Para ello, y dependiendo del tipo de Rootkit, hacen servir distintos métodos para lograr su cometido.

Hookeando la sys_call_table:

Cuando una aplicación necesita realizar una acción del tipo listar procesos, archivos o conexiones, para ello necesita utilizar una función específica para ello. Esta función, esta guardada dentro de una librería, la cual, al ser ejecutada, realiza una llamada al Kernel, para que este le retorne el resultado de la función (evidentemente, no todas las funciones llaman al Kernel para que les retorne el resultado, como ya dije, son funciones especiales, que requieren llamadas al Kernel par que les retorne el resultado). El siguiente gráfico lo explica:

Como vemos, para realizar una llamada de sistema dentro del Kernel, se hace de la siguiente manera:

sys_call_table[eax]

Donde eax contiene el índice de la función a la que se quiere llamar (en el caso de la imagen, a sys_getpid(). Muchos Rootkits lo que hacían era lo siguiente:

sys_call_table[Index] = (void*) my_func_ptr;

Con lo que conseguían que al consultar la dirección de la función, se les daba la dirección de la función hookeada, es decir, llamaban a la función del Rootkit en lugar de la dirección correcta.

Actualmente, sys_call_table no esta exportado, por lo que el método anterior no funcionaria “a priori”, ya que existen maneras para localizar sys_call_table.

UserSpace Rootkits:

Para poder mantenerse ocultos, estos Rootkits lo que hacen es modificar ciertos archivos, los cuales sirven para realizar las acciones antes comentadas (listar procesos, archivos, etc.). Evidentemente, esto es realmente sencillo de detectar, ya que si realizamos un checksum del archivo, veremos que esta modificado, lo que indica que tenemos un Rootkit instalado en nuestra maquina.

Aunque no siempre trabajan así, ya que pueden realizar lecturas y escrituras sobre la memoria virtual del kernel (/dev/Kmem) y sobre la memoria física (/dev/mem). Aunque muchas distribuciones ya llevan deshabilitadas estas direcciones por defecto.

En el próximo capítulo de esta serie de artículos, vamos a analizar, de forma práctica, los distintos tipos de Rootkits.

Un Saludo

Hendrix

Etiquetas: Kernel , linux , Malware , Rootkit

Tutoriales y Manuales

Entradas Mensuales

Síguenos en:

Blogroll

Etiquetas

Entradas populares

Rootkits (II)