MALW

CVE-2007-4559 - Polemarch 漏洞利用程序 针对 Polemarch 服务器 https://www.polemarch.org/ 的完整可用漏洞利用程序，利用 CVE-2007-4559，可实现： 注入使用 TOR 以更好地隐藏的 Monero 加密货币矿工。 注入针对最常见系统管理工具的 rootkit。 POC 概念验证，使用 https://vulners.com/cve/CVE-2007-4559 并基于...

LinuxCheck

LinuxCheck Linux緊急対応/情報収集/脆弱性検出ツール。基本設定/ネットワークトラフィック/タスクスケジュール/環境変数/ユーザー情報/サービス/bash/悪意ファイル/カーネルRootkit/SSH/Webshell/マイニングファイル/マイニングプロセス/サプライチェーン/サーバーリスクなど13カテゴリ70+項目のチェックをサポート 更新 更新ログ：2024年4月20日 出力をMarkdownレポートに調整 agを廃止し、Linuxネイティブのgrepコマンドを使用して、追加インストールを回避 コードフォーマットを最適化し、毎回tee -aを必要としないように...

rootkit-detection-ebpf-time-trace

使用eBPF时间追踪的Rootkit检测 本仓库包含用于收集内核函数时间测量值的代码，这些函数在隐藏文件时会被rootkit操纵，同时还提供了一种半监督检测方法，用于分析内核函数执行时间的偏移。此实现依赖于开源rootkit CARAXES，它包装了filldir函数以操纵文件枚举的结果，例如在执行ls命令时。我们通过eBPF探针从getdents系统调用中的多个函数（包括filldir）获取时间测量值。对于检测，我们应用了一个基于统计检验的简单机器学习模型。关于数据收集和异常检测机制的详细解释，请参考以下出版物。如果您使用了本仓库提供的任何资源，请引用该出版物： Landauer, M...

Diamorphine

Diamorphine Diamorphine は Linux カーネル 2.6.x/3.x/4.x/5.x/6.x x86/x8664 および ARM64 向けの LKM ルートキットです。 機能 ロードされるとモジュールは不可視状態で起動します。 任意のプロセスをシグナル 31 を送信することで不可視/可視化できます。 シグナル 63 を（任意の PID に）送信すると、モジュールが（不可視/可視）になります。 シグナル 64 を（任意の PID に）送信すると、指定したユーザーが root になります。 MAGICPREFIX で始まるファイルやディレクトリは不可視になります。...

SPiCa

SPiCa システムプロセスの整合性とクロスビュー分析 「歌うから、輝いて、SPiCa...」...

Umbra

Umbra Umbra is an experimental remotely controllable LKM rootkit for kernels 4.x and 5.x up to 5.7 which opens a network backdoor that can spawn reverse shells to remote hosts, launch malware remotely and much more. The rootkit is still under development, although the features listed below are...

Nidhogg

Nidhogg Nidhogg は、カーネル空間で実行できるさまざまな操作を紹介する多機能ルートキットです。Nidhogg の目標は、操作に役立つ多機能で使いやすいオールインワンのルートキットを提供することです。さらに、C2 フレームワークと簡単に統合することもできます。 Nidhogg は、x64 版 Windows 10 および Windows 11 のすべてのバージョンで動作します。 このリポジトリには、カーネルドライバと、それと通信するための C++ プログラムが含まれています。 詳細については、wiki をご覧ください。 現在の機能 !IMPORTANT すべての機能は...

zeek-spicy-facefish

FacefishRootkit 该 Zeek+Spicy 分析器用于检测 Facefish Linux rootkit 的 C2，相关说明见： https://blog.netlab.360.com/sshstealerfacefishen/ https://blogs.juniper.net/en-us/threat-research/linux-servers-hijacked-to-implant-ssh-backdoor https://thehackernews.com/2021/05/researchers-warn-of-facefish-backdoor.html...

Imperius

Imperius LKMルートキットを再び可視化します。 これは、例えばdiamorphineルートキットなどから "moduleshow" 関数のアドレスを取得し、それを呼び出してlsmodに追加し直すことで、LKMルートキットの削除を可能にするものです。 非常にシンプルなカーネルでは、 /sys/kernel/tracing/availablefilterfunctionsaddrs を使って関数アドレスを取得できますが、これはカーネル6.5x以降でのみ利用可能です。...

Chaos-Rootkit

Chaos-Rootkit Chaos-Rootkit 是我编写的一个 x64 Ring 0 rootkit，目的是更好地理解内核内部原理和 rootkit 技术。 GUI 版本 功能 隐藏进程：此功能允许你通过 DKOM 在进程列表工具中隐藏进程。 提升特定进程权限：此功能允许你提升特定进程的权限。 将磁盘和内存中的驱动程序替换为 Microsoft 驱动程序：此实现的所有功劳归于 IDontCode Back Engineering 的出色工作，我还为此功能处理了卸载和关闭例程，确保 rootkit 的驱动程序不会在某个时刻损坏或崩溃。 除了指定的进程 ID...

shadow

shadow-rs 🦀 shadow-rs es un rootkit del kernel de Windows escrito en Rust, que demuestra técnicas avanzadas de manipulación del kernel aprovechando las características de seguridad y rendimiento de Rust. Este proyecto está destinado a fines educativos y de investigación. Tabla de Contenidos Aviso...

linux-root-kit

About This Project 本项目是在 Technische Hochschule Deggendorf 的 Digitale Forensik 课程中开发的。 它展示了一次完整的法证调查和攻击模拟，涉及： 使用恶意 PyPI 包的 Python 依赖混淆攻击 通过易受攻击的 sudo 版本 CVE-2025-32463 进行权限提升 部署 Sliver C2 信标 一个自定义 rootkit，包含内核模块加载、系统调用挂钩和基于 udev 的持久化 使用 Volatility、NetworkMiner 和手动逆向等工具对内存和网络工件进行完整分析...

VectorKernel

VectorKernel カーネルモードルートキット技術の研究または教育のためのPoCです。 現在はWindows OSに焦点を当てています。 すべてのモジュールはx64ファミリの64ビットOSのみをサポートしています。 環境 すべてのモジュールはWindows 11 x64でテストされています。 ドライバをテストするには、テスト用マシンで以下のオプションを使用できます。 1. テスト署名済みドライバの読み込みを有効にする 2. カーネルモードデバッグの設定 各オプションでは、セキュアブートを無効にする必要があります。 モジュール...

ved-ebpf

VED-eBPF: Kernel Exploit and Rootkit Detection using eBPF VED Vault Exploit Defense-eBPF leverages eBPF extended Berkeley Packet Filter to implement runtime kernel security monitoring and exploit detection for Linux systems. Introduction eBPF is an in-kernel virtual machine that allows code...

ved-ebpf

VED-eBPF：使用 eBPF 进行内核利用和 Rootkit 检测 VED（Vault 利用防御）-eBPF 利用 eBPF（扩展的伯克利数据包过滤器）为 Linux 系统实现运行时内核安全监控和利用检测。 简介 eBPF 是一种内核实机，允许在无需修改内核源代码的情况下在内核中执行代码。eBPF 程序可以附加到 tracepoints、kprobes 和其他内核事件上，以高效地分析执行并收集数据。 VED-eBPF 使用 eBPF 追踪对安全敏感的内核行为，并检测可能表明存在利用或 rootkit 的异常。它提供两种主要检测：...

TripleCross

TripleCross TripleCross は、eBPF テクノロジーの攻撃能力を示す Linux eBPF ルートキットです。 TripleCross は、この分野の以前のインプラント設計、特に DEFCON 27 の Jeff Dileo1、DEFCON 29 の Pat Hogan2、同じく DEFCON 29 の Guillaume Fournier と Sylvain Afchain3、そして Kris Nóva の Boopkit4 の研究に触発されています。これらの eBPF テクノロジーの攻撃能力に関する先駆的な探求により開拓された技法の一部を再利用し、拡張しています...

krf

KRF KRF is a K ernelspace R andomized F aulter. It currently supports the Linux and FreeBSD kernels. What? Fault injection is a software testing technique that involves inducing failures "faults" in the functions called by a program. If the callee has failed to perform proper error checking and...

r77-rootkit

r77 Rootkit Fileless ring 3 rootkit r77 is a ring 3 rootkit that hides everything: Files, directories Processes & CPU/GPU usage Registry keys & values Services TCP & UDP connections Junctions, named pipes, scheduled tasks Hiding by prefix Everything that starts with "$77" is hidden. Configuration...

r77-rootkit

r77 ルートキット ファイルレス ring 3 ルートキット r77は、すべてを隠蔽するring 3ルートキットです： ファイル、ディレクトリ プロセスとCPU/GPU使用率 レジストリキーと値 サービス TCPおよびUDP接続 ジャンクション、名前付きパイプ、スケジュールタスク プレフィックスによる隠蔽 "$77"で始まるすべてのものが隠蔽されます。 設定システム 動的な設定システムにより、プロセスをPID や名前 で、ファイルシステムアイテムをフルパス で、特定のポートのTCPおよびUDP接続などを隠蔽できます。...

Singularity

Singularity - 隐秘的Linux内核Rootkit “给取证工作找点麻烦如何？” 本项目灵感来源于一位对我而言非常特别的女性：Mocinha Singularity 是一款专为现代6.x内核设计的强大Linux内核模块（LKM）Rootkit。它通过ftrace基础设施实现高级系统调用劫持，提供全面的隐蔽能力。 完整研究文章（旧版） ：Singularity: 一个终局级Linux内核Rootkit EDR逃逸案例研究 ：使用Singularity绕过Elastic EDR 演示视频：Singularity vs eBPF安全工具 ：Singularity vs eBPF安全...