Выбери свой руткит!

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-060-2

Предположим, что все получилось как надо: руткит успешно установился, бинарники прижились, порт слушается. Теперь можно юзать ssh-клиент на выбранном порту. В качестве логина применяется слово root, а в качестве пароля - первый параметр, переданный установщику. Руткит умеет очень много интересных вещей. В /usr/include можно обнаружить три файла: log.h, port.h и proc.h. В них забиты подстроки, порты и названия процессов, которые не стоит показывать администратору. С виду все работает как надо, но если посмотреть на систему под другим углом - опять получаем баги. Первая брешь затаилась при симбиозе руткита с libncurses (попросту с менеджером mc). Все скрытые директории и файлы прекрасно отображаются в midnight’е, как будто руткита вообще нет. В связи с этим рекомендую не пользоваться этой фичей.

В каталоге /lib/ldd.so, который характерен для shv4, есть три важных файла: tks, tksb и tkp. Первый выполняет роль ftp/telnet/pop3/imap-снифера и прекрасно дампит всю информацию в /lib/ldd.so/tkps. Второй - парсер для снифера. Его задача - грамотно обработать лог с перехваченными данными. И последний атрибут руткита - логклинер, который, к сожалению, вычищает лишь текстовые журналы.

Следующая особенность shv4 заключается в том, что он умеет перехватывать ssh-пароли, заменяя клиент пропатченной версией. Это не есть хорошо, потому что заменяемый /usr/bin/ssh не умеет коннектиться по второму протоколу, тем самым выдавая себя с потрохами. Если тебя это не пугает - пользуйся на здоровье. Сграбленные пароли будут дампиться в /lib/ldd.so/system.log.

Вот, собственно, и все особенности руткита shv4. В приватных источниках существует и shv5, но я его еще не видел, поэтому ничего хорошего сказать не могу. Как ты понял, руткит применяется только для linux-систем и только для ядер 2.2 и 2.4.

Невидимый Suckit

Второй руткит, который конкурирует с shv4, получил название Suckit (или sk). Хакерский комплект выложен в публичные источники, но новые его версии являются приватными. Комплект состоит всего из двух файлов - /sbin/init и login. Как ты понял, установщик троянит init, которым и управляет хакер. Второй файл используется в качестве клиента - с его помощью взломщик логинится в систему.

Установка руткита очень проста: вначале выполняется команда make skconfig. Хакеру зададут ряд простых вопросов, ответы на которые будут занесены в специальный конфиг руткита. Затем можно писать make и make install, после чего sk будет активирован.

Теперь поговорим об особенностях клиента. Для успешного соединения с системой необходимо, чтобы на сервере светился любой порт. Переноси login на другую машину, затем запускай его с параметром -h host -d port - и ты внутри. У составителя руткита есть чувство юмора - это видно по красочному приглашению. Все процессы и логи, порожденные со шпионской консоли, не будут никуда логироваться, так что не нужно заморачиваться вопросом чистки журналов. У тебя может возникнуть иллюзия, что процессы не скрываются, но это оптический обман :) - для удобства ты видишь собственные процессы, но их не может видеть обычный пользователь.