Выбери свой руткит!

Докучаев Дмитрий aka Forb

Хакер, номер #071, стр. 071-060-4

Минусом модульного руткита является несовместимость с любой IDS и кернеловыми патчами. Если таковые имеются, то несанкционированной загрузке модулей воспрепятствуют вышестоящие инстанции :). Но навороченные серваки встречаются крайне редко, что очень радует. Необходимо помнить, что adore не умеет работать с новым 2.6 ядром, а порой неправильно компилируется.

Слово за FreeBSD

Согласись, несправедливо, что я описываю только linux-руткиты. Это связано с нехваткой хакерских комплектов для других систем. В частности для FreeBSD. Но не все так плохо: для фряхи существует средненький по возможностям руткит, который получил название fbrk (сокращенно от FreeBSD rootkit). Этот комплект может использоваться для FreeBSD версии 4.2-4.5.

Установить fbrk не просто, а очень просто. Достаточно запустить скрипт setup без параметров. Тебе предложат сгенерировать пароль, после чего все бинарники установятся в систему. Не стоит забывать об осторожности: я тестировал руткит на FreeBSD 4.6, после чего новые файлы перестали запускаться. Поэтому, как в случае с shv4, необходимо сделать спасительный бэкап. Прочитав readme, ты узнаешь о том, сколько всяких троянцев установится в систему. В первую очередь, fbrk хорош тем, что умеет скрывать файлы и процессы. Необходимо лишь занести их в конфиги /dev/fd/.99/.ttyf00 и /dev/fd/.99/.ttyp00 соответственно. Синтаксис конфигов также указан в readme, поэтому посылаю тебя в этот файл для детального изучения руткита :).

Чтобы получить рутовые привилегии, нужно объявить переменную окружения DISPLAY, значением которой будет заданный пароль. После этого смело запускай telnet localhost и получай абсолютные права. Если залогиниться через FTP под твоим паролем (указывается в качестве username), то руткит даст тебе удаленного рута на 21 порту. По желанию на 65535 порту будет висеть еще один бэкдор, который активирует bash после ввода хакерского пароля.

Кроме этого, руткит содержит два незаменимых логклинера, которые называются freshb (бинарный логвайпер) и fresht (текстовый логвайпер). Им достаточно указать подстроку в качестве параметра, и логи будут быстро вычищены.

Если тебе не нравится этот руткит, можешь заюзать adore для FreeBSD, благо он тоже имеется (http://packetstormsecurity.nl/groups/teso/adorebsd-0.34.tar.gz). Те же модули, те же возможности, те же баги :), но только для твоей любимой Фряхи.

Гроза для Solaris

Порой складывается такая ситуация, когда хакеру необходимо закрепить свои права на старенькой Solaris. Впрочем, описываемый руткит может без проблем встать и на SunOS 5.8, но адаптирован он исключительно для 6 и 7 версии. Если ты еще не догадался, речь пойдет о знаменитом в хакерских кругах rootkitSunos, который немного похож на fbrk, но в то же время отличается от него грамотной доработкой на случай сбоя.

Итак, сам руткит состоит из традиционно протрояненных бинарников ls, ps, du, find и т.п. Оформление конфигов аналогично fbrk, но сами файлы спрятаны в /dev/pty*. Прочти файл Rootkit.README и поймешь, как с ним работать. Традиционно в комплект руткита входит снифер и бинарник ic, который подменяет ifconfig, скрывая флаг PROMISC. Тулза sl посылает /bin/login’у заветный пароль и активирует рутовый шелл. Порадовало, что руткит создает бэкап замененных бинарников в каталоге /tmp/.X11-unix/.../rk-bak, а также запускает утилиту fix. Последняя восстанавливает права доступа и время создания файлов. Согласись, что это очень безопасно.