Singularity

Singularity - 隐秘的Linux内核Rootkit “给取证工作找点麻烦如何？” 本项目灵感来源于一位对我而言非常特别的女性：Mocinha Singularity 是一款专为现代6.x内核设计的强大Linux内核模块（LKM）Rootkit。它通过ftrace基础设施实现高级系统调用劫持，提供全面的隐蔽能力。 完整研究文章（旧版） ：Singularity: 一个终局级Linux内核Rootkit EDR逃逸案例研究 ：使用Singularity绕过Elastic EDR 演示视频：Singularity vs eBPF安全工具 ：Singularity vs eBPF安全...

ksentinel

ksentinel - 内核系统调用完整性监控器 概述 ksentinel 监控关键内核函数和系统调用表是否存在未经授权的修改。它检测大多数根工具包（包括 ftrace 挂钩、kprobes 和系统调用表劫持）所针对的常见系统调用。 特性 函数序言完整性检查（基于 FNV-1a 哈希） 系统调用表监控（512 个条目） LSTAR MSR 验证（x8664 系统调用入口点） 带解锁密钥机制的反卸载保护 可配置间隔的持续监控 注意：ksentinel 处于初始版本；未来提交将带来更多改进。 被监控的函数 VFS 层： filldir, filldir64, dogetdents64,...