rootkit-detection-ebpf-time-trace

eBPF 시간 추적을 이용한 루트킷 탐지 이 저장소는 루트킷이 파일을 숨길 때 조작하는 커널 함수의 시간 측정값을 수집하는 코드와, 커널 함수 실행 시간의 변화를 분석하는 반지도 학습 기반 탐지 방법을 포함합니다. 이 구현은 오픈소스 루트킷 CARAXES에 의존하며, 이 루트킷은 filldir 함수를 래핑하여 ls 명령 실행 시 파일 열거 결과를 조작합니다. eBPF 프로브를 사용하여 getdents 시스템 콜 filldir 포함의 여러 함수에서 시간 측정값을 수집합니다. 탐지에는 통계적 검정에 기반한 간단한 머신러닝 모델을...

Umbra

Umbra Umbra는 커널 4.x 및 5.x5.7까지용 실험적인 원격 제어 가능 LKM 루트킷으로, 네트워크 백도어를 열어 원격 호스트로 리버스 셸을 실행하고, 원격으로 악성코드를 실행하는 등 다양한 기능을 제공합니다. 이 루트킷은 아직 개발 중이지만, 아래 나열된 기능들은 이미 완전히 작동합니다. 참고: 이 루트킷은 커널 5.4.0과 Ubuntu 18.04를 사용하여 개발 및 테스트되었습니다. Features 🌟 악성 TCP 패킷을 수신한 후 원격 IP로 리버스 셸을 실행하는 백도어. 🌟 Umbra Injector 를 사용...

Chaos-Rootkit

Chaos-Rootkit Chaos-Rootkit は、カーネル内部とルートキット技術をより深く理解するために私が書いた x64 Ring 0 ルートキットです。 GUI バージョン 機能 プロセスの非表示: この機能は、DKOM を使用してプロセス一覧ツールからプロセスを隠すことができます。 特定のプロセスの特権を昇格: この機能により、特定のプロセスの特権を昇格できます。 ディスク上およびメモリ内のドライバーを Microsoft 製ドライバーと交換: この実装の功績はすべて IDontCode Back Engineering...

ksentinel

ksentinel - 커널 시스템 콜 무결성 모니터 개요 ksentinel은 중요 커널 함수와 시스템 콜 테이블의 무단 수정을 모니터링합니다. ftrace 훅, kprobes, 시스템 콜 테이블 하이재킹 등 대부분의 루트킷이 표적으로 삼는 일반적인 시스템 콜을 탐지합니다. 특징 함수 프롤로그 무결성 검사 FNV-1a 해시 기반 시스템 콜 테이블 모니터링 512개 항목 LSTAR MSR 확인 x8664 시스템 콜 진입점 잠금 해제 키 메커니즘을 통한 언로드 방지 보호 설정 가능한 간격으로 지속적 모니터링 참고: ksentinel...

Singularity

Singularity - 은밀한 리눅스 커널 루트킷 "포렌식에 약간의 일을 줘볼까?" 이 프로젝트는 저에게 아주 특별한 여성인 Mocinha에 의해 영감을 받았습니다 Singularity 는 현대 6.x 커널을 위해 설계된 강력한 Linux Kernel Module LKM 루트킷입니다. ftrace 인프라를 통한 고급 시스템 콜 후킹으로 포괄적인 은밀성 기능을 제공합니다. 전체 연구 기사 구버전 : Singularity: A Final Boss Linux Kernel Rootkit EDR 우회 사례 연구 : Bypassing...

GoAT

GoAT Golang Advanced Trojan 은 Go로 제작된 트로이 목마로, Twitter를 C&C 서버로 사용합니다. GoAT는 멀티스레드 명령 실행과 C로 작성된 정교한 자체 방어 루트킷 모듈을 포함한 매우 독특하고 인상적인 기능들을 보유하고 있습니다. 악성코드에 익숙하지 않다면 이 프로그램을 자신에게 실행하지 마십시오. 일단 설치되면 제거하기가 매우 어렵습니다. 명령어 !echo - 슬레이브 콘솔에 메시지를 기록합니다 !quit - GoAT를 종료합니다 !clear - 아무것도 하지 않습니다. 연결 시 슬레이브가...

IIS-Backdoor

IIS-Backdoor 이 글에서는 Microsoft IISInternet Information Services용 루트킷을 어떻게 설계했는지 설명하겠습니다. 질문은: 왜 웹 서버에 백도어를 심는가? 첫 번째로 떠오르는 명백하지만 쓸모없는 대답: 할 수 있으니까. 좋습니다. 더 영리한 대답을 해보죠. 웹 서버에 백도어를 심는 목적은 두 가지입니다. 공격자가 클라이언트가 보낸 데이터에 접근할 수 있게 해줍니다. 예를 들어 웹 사이트가 비밀번호로 보호되는 경우, 이 비밀번호를 획득할 수 있습니다. 서버에서 웹 클라이언트로 전송되는 ...

Codeine

Codeine .o88b. .d88b. d8888b. d88888b d888888b d8b db d88888b d8P Y8 .8P Y8. 88 8D 88' 88' 888o 88 88' 8P 88 88 88 88 88ooooo 88 88V8o 88 88ooooo 8b 88 88 88 88 88 88 88 V8o88 88 Y8b d8 8b d8' 88 .8D 88. .88. 88 V888 88. Y88P' Y88P' Y8888D' Y88888P Y888888P VP V8P Y88888P Codeine은 리버스 셸을 통해 공격자의...

red-detector

Red-Detector Description Scan your EC2 instance to find its vulnerabilities using Vuls https://vuls.io/en/. Audit your EC2 instance to find security misconfigurations using Lynis https://cisofy.com/solutions/lynis. Scan your EC2 instance for signs of a rootkit using Chkrootkit...

red-detector

Red-Detector 설명 Vulshttps://vuls.io/en/를 사용하여 EC2 인스턴스를 스캔하여 취약점을 찾습니다. Lynishttps://cisofy.com/solutions/lynis를 사용하여 EC2 인스턴스를 감사하여 보안 설정 오류를 찾습니다. Chkrootkithttp://www.chkrootkit.org/을 사용하여 EC2 인스턴스에서 루트킷 징후를 스캔합니다. 요구 사항 1. 아래에 언급된 EC2 작업이 구성된 AWS 계정. 이러한 요구 사항이 포함된 정책은...

BlackLotus-analysis-stage2-bootkit-rootkit-stage

BlackLotus-analysis-stage2-bootkit-rootkit-stage BlackLotus 2단계 부트킷-루트킷 분석 이 신성한 똥제발 믿어줘, 이건 정말 신성한 똥이야. 아무도 신의 뜻 없이는 이걸 해낼 수 없어적어도 이게 내 생각이야에 뛰어들기 전에, 부트킷 파일의 해시가 여기 있다 가장 먼저, 정상적인 시스템은 이렇게 생겼다 C:\Windows\system32BCDEdit Windows Boot Manager identifier bootmgr device...

DynastyPersist

DynastyPersist 1.5 DynastyPersist: Linux 지속성을 손쉽게 달성하기 위한 간소화된 도구입니다. 지원: KoTH, Battlegrounds 및 침투 테스트 작업 설치 • 문서 • 사용법 문서 기능 기능| 설명 ---|--- SSH 키 생성| 은밀한 접근을 위한 SSH 키를 자동으로 생성합니다. 크론잡 지속성| 예약된 지속성을 위해 크론잡을 설정합니다. 루트 권한의 사용자 정의 계정| 루트 권한을 가진 사용자 정의 계정을 생성합니다. RCE 지속성| 원격 코드 실행을 통해 지속성을 달성합니다...

boopkit

================================================================ ██████╗ ██████╗ ██████╗ ██████╗ ██╗ ██╗██╗████████╗ ██╔══██╗██╔═══██╗██╔═══██╗██╔══██╗██║ ██╔╝██║╚══██╔══╝ ██████╔╝██║ ██║██║ ██║██████╔╝█████╔╝ ██║ ██║ ██╔══██╗██║ ██║██║ ██║██╔═══╝ ██╔═██╗ ██║ ██║ ██████╔╝╚██████╔╝╚██████╔╝██║ ██║...

ring3-kit

ring3-kit NT 후킹NtQuerySystemInformation을 사용하여 프로세스를 작업 관리자에서 숨깁니다. 간단한 Ring-3 사용자 모드 루트킷입니다. 방법 프로세스를 작업 관리자에서 숨기는 자체 함수로 API 함수 NtQuerySystemInformation를 후킹합니다. 후킹된 함수가 대신 호출됩니다. DLL이 Taskmgr.exe에 주입되어 후킹 코드를 실행할 가상 메모리 공간을 확보합니다. 면책 조항 개발자 Josh Schiavone은 이 간단한 루트킷의 오용에 대해 책임을 지지 않습니다. 승인된 액세스...

Imperius

Imperius LKM 루트킷을 다시 보이게 만드세요. 이는 루트킷예: diamorphine 루트킷에서 "moduleshow" 함수의 주소를 가져와 호출하여 lsmod에 다시 추가함으로써 LKM 루트킷을 제거할 수 있도록 합니다. 매우 간단한 커널에서는 /sys/kernel/tracing/availablefilterfunctionsaddrs 를 사용하여 함수 주소를 얻을 수 있지만, 이는 커널 6.5x부터만 사용 가능합니다. 이에 대한 대안은 커널 메모리를 스캔한 후 lsmod에 다시 추가하여 제거할 수 있도록 하는 것입니다...

antispy

AntiSpy 영어 | 简体中文 강력한 안티 루트킷 도구 키트 AntiSpy는 무료이지만 강력한 안티 바이러스 및 루트킷 도구 키트입니다. 최고 권한으로 다양한 커널 수정 및 후크를 탐지, 분석 및 복원할 수 있는 기능을 제공합니다. 이를 통해 일반 탐지기에서 숨겨진 악성코드를 쉽게 발견하고 무력화할 수 있습니다. 개발 IDE: Visual Studio 2008 사용자 공간: MFC WDK: WDK7600 타사 라이브러리: Codejock toolkit pro 코드 구조 AntiSpyRootDir ├── LICENSE ├──...

freebsd_kernel_hacking

FreeBSD 커널 해킹 Joseph Kong의 Designing BSD Rootkits에 나온 실습 과제들을 FreeBSD 11/12에 맞게 업데이트했습니다. 이 책은 10년 이상 지났지만, 현대 릴리스에서 작동하도록 책에 제공된 소스 코드를 업데이트하는 것이 상당히 어려운 작업이므로 적극 추천합니다. 추가 자료: learning-kernelhacking...

ModTracer

ModTracer v1.0 ModTracer는 숨겨진 Linux 커널 Rootkit을 찾아 다시 보이게 만듭니다. LKM을 보이게 하는 또 다른 방법은 imperius 트릭을 사용하는 것입니다: https://github.com/MatheuZSecurity/Imperius Rootkit 연구자 그룹에 가입하세요 https://discord.gg/66N5ZQppU7...

k0otkit

k0otkit - K8s를 K8s 방식으로 조작하기 소개 k0otkit은 Kubernetes 클러스터 대상 침투 시 사용할 수 있는 보편적인 사후 침투 기술입니다. k0otkit을 사용하면 대상 Kubernetes 클러스터의 모든 노드를 빠르고 은밀하며 지속적으로 조작할 수 있습니다 리버스 셸. k0otkit은 Kubernetes 와 rootkit 의 결합입니다. 전제 조건: k0otkit은 사후 침투 도구이므로, 먼저 클러스터를 장악하고, 컨테이너에서 탈출하여 마스터 노드의 루트 권한을 획득해야 합니다 정확히는 대상...

Python-Rootkit

python-rootkit 이것은 거의 모든 안티바이러스를 우회하고 윈도우 머신 내부에 백도어를 열어 청취 머신으로 역방향 https Metasploit 연결을 설정하는 완전히 탐지되지 않는 python RAT입니다. ViRu5 생명 주기 모든 안티바이러스 우회. 악성 파워쉘 스크립트를 메모리에 주입. 공격자 머신으로 역방향 https 연결 설정. 10초마다 확인하여 연결이 여전히 존재하는지 확인하고, 그렇지 않으면 새 연결을 재설정. 재부팅 후 공격자에게 다시 연결하기 위해 시작 레지스트리 키 추가. 단계...