Выбери свой руткит!

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-060-1

(forb@real.xakep.ru)

Обзор популярных руткитов

Выбор руткита - весьма сложное занятие. Если подойти к этому вопросу неосознанно, то можно в два счета лишить систему работоспособности или засветиться перед бдящими глазами админа. Ведь абсолютно любой руткит помимо видимых достоинств имеет весомые недостатки. Именно их и нужно учитывать при выборе защитного средства. Этим правилом я всегда пользуюсь. А ты?

Огромный ассортимент

Подходить к вопросу выбора нужно очень и очень серьезно. В некоторых случаях хакерские комплекты вообще нельзя применять - если на сервере установлен умный ядерный патч, последний chkrootkit или навороченная IDS. В этой ситуации достаточно ограничиться небольшим бэкдором или собственным самопальным средством (это мы уже проходили в Х/09). Задуматься о вопросе затроянивания можно лишь тогда, когда на сервере не крутятся опасные для руткита процессы. Но даже при идеальном раскладе можно вывести систему из равновесия, применив самый защищенный руткит.

Но довольно прелюдий! Пора уже определяться с выбором. На отведенных мне полосах я расскажу о таких вещах, как shv4, suckit, adore, fbsd-rootkit и rootkitSunos. А после подробного описания каждой тулзы ты выберешь для себя оптимальный вариант. Договорились? Тогда поехали!

Приватный и глючный shv4

Если ты хоть раз поднимал инфу о самых популярных руткитах, то наверняка знаешь о великом shv. Этот комплект собрал хакер с ником dcoder и позаботился о том, чтобы он стал приватным. Действительно, в публичных источниках тебе не найти shv4, но это не значит, что он недоступен. Приватные тулзы часто всплывают в ответах на нестандартные поисковые запросы (типа «shv4 index»), на зарутанных машинах с 0day-хранилищем или на забугорных irc-каналах. Но я тебе этого не говорил ;).

Сам комплект состоит из одного архива shv4.tgz. Устанавливается пакет с помощью команды ./setup password port - такой синтаксис указан в файле README. Но если ты выполнишь эту неприметную команду, то рискнешь лишиться контроля над системой. Нет, в установочном файле setup нет команды rm -rf /, просто создатель руткита оказался ушлым человеком и заставил инсталлятор высылать ему на почту всю информацию о машине, включая пароль и порт на соединение. Поэтому возьми себе за правило: когда ставишь неизвестный руткит - исследуй содержимое его установщика. А то мало ли что :).

Не спеши ставить комплект даже после удаления шпионской строки. Пришло время добавить бочку дегтя в ложку меда :). Дело в том, что руткит хреново работает с некоторыми операционками (в частности с RedHat 6.1). Его бинарники порой падают в кору, а если все-таки запускаются, то можно увидеть ругань на некорректные опции (в случае замены /bin/ls на старую версию) и на несоответствие каких-то там символов в /boot/System.map (глюк /bin/ps на некоторых версиях ядер 2.2.х). К чему я все это? Если уж решил троянить систему - то забэкапь каталог /bin и /usr/bin (полный список заменяемых файлов смотри во вложенном архиве bin.tgz). Только после этого стартуй setup. Не рекомендую класть бэкап в папку с shv4 - она удалится после установки пакета. И еще один совет: не стоит выбирать слишком высокий порт: в некоторых операционках руткит почему-то отказывается его слушать.