Выбери свой руткит!

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-060-3

Как подобает настоящему руткиту, suckit поставляется со встроенным снифером, который записывает все набранные логины и пароли в файл ~/.sniffer (домашний каталог руткита - /usr/share/locale/sk/.sk12).

Пришло время поговорить о недостатках sk. Первый, и весьма весомый минус - руткит опознается chkrootkit’ом. В связи с этим не рекомендуется инсталлить sk при излишней активности администратора. Второй недостаток - руткит не всегда бывает легко собрать. Из-за особенностей ядра хакерский комплект может наотрез отказаться устанавливаться. И с этим ничего нельзя поделать :(. И наконец, последний минус - руткит достаточно сложно уничтожить. Простая замена /sbin/init не помогает, поэтому если администратор засечет sk, скорее всего, он переустановит всю систему.

Я знаю многих людей, которые любят suckit за его компактность и навороченность. Но сам лично почему-то не доверяю этому руткиту и чаще всего использую shv4 (или не использую ничего). Поэтому сам решай, что лучше. Практика, практика и еще раз практика!

Модульный БУМ, изменивший мир

Все вышеописанные руткиты основывались на замене бинарников. Но ты знаешь, что бывают и LKM-based-комплекты, которые поставляются в виде ядерных модулей. С одной стороны, хакеру нужно позаботиться о вопросе хитрой подгрузки LKM, а с другой - можно забыть про всякие там chkrootkit и tripwire. Они полностью бессильны перед невидимыми ядерными плагинами.

Самым лучшим и актуальным по сей день LKM-руткитом является adore. Он поставляется в виде двух модулей и одного управляющего бинарника. Честно говоря, это самый компактный руткит, который я когда-либо видел. Установка модулей очень проста: достаточно написать ./configure и make. На первом шаге у тебя спросят так называемый пароль (чисто символический), а на втором создадутся все необходимые модули. Перенеси бинарник ava и модули adore.o и cleaner.o в какой-нибудь неприметный каталог, а затем выполни команды insmod /path/to/adore.o; insmod /path/to/cleaner.o; rmmod cleaner. После этого все модули будут успешно установлены и скрыты от посторонних глаз. Самое время оценить всю мощь модульного adore.

В первую очередь, adore умеет скрывать процессы и каталоги. Чтобы скрыть шпионскую папку, достаточно запустить управляющий бинарник с параметром h имя_файла. Буква «u» снимает скрытый статус с каталога. Опции i pid и v pid делают подобные вещи с процессом. Команда ava U пароль_заданный_при_установке деактивирует шпионские модули. Кроме этого, руткит способен выполнять рутовые команды. Это достигается с помощью параметра r cmd. Просто? Конечно, просто :). Единственная сложность - позаботиться об автоматической загрузке руткита при каждом старте системы. Это можно сделать как через cron, так и через стартовые скрипты, выдавая загрузчик модулей за важное системное приложение.