Analyse des rootkits du noyau Linux

Que fait Analyse des rootkits du noyau Linux ?

Vue d'ensemble

Les rootkits du noyau Linux opèrent au niveau ring 0, modifiant les structures de données du noyau pour cacher les processus, fichiers, connexions réseau et modules noyau aux outils de l'espace utilisateur. Leur détection nécessite soit la forensique mémoire (analyse de dumps de mémoire physique avec Volatility3), soit une analyse croisée (comparaison de /proc, /sys et des structures de données du noyau pour trouver des incohérences). Cette compétence couvre l'utilisation des plugins Linux de Volatility3 pour détecter les hooks dans les appels système, les modules noyau cachés et les pointeurs de fonction modifiés, complétée par une analyse en direct avec rkhunter et chkrootkit.

Quand l'utiliser

• Lors d'enquêtes sur des incidents de sécurité nécessitant l'analyse de rootkits du noyau Linux
• Lors de la création de règles de détection ou de requêtes de chasse aux menaces dans ce domaine
• Lorsque les analystes SOC ont besoin de procédures structurées pour ce type d'analyse
• Lors de la validation de la couverture de surveillance de sécurité pour les techniques d'attaque associées

Prérequis

• Volatility3 installé (pip install volatility3)
• Dump mémoire Linux (acquis via LiME, AVML ou /proc/kcore)
• Table de symboles Linux Volatility3 (ISF) correspondant à la version du noyau cible
• rkhunter et chkrootkit pour l'analyse en direct
• Référence d'image noyau connue comme saine à des fins de comparaison

Étapes

Étape 1 : Acquisition du dump mémoire

Capturez la mémoire physique Linux à l'aide du module noyau LiME ou d'AVML pour les instances cloud.

Étape 2 : Analyse avec Volatility3

Exécutez les plugins linux.check_syscall, linux.lsmod, linux.hidden_modules et linux.check_idt pour détecter les artefacts de rootkit.

Étape 3 : Analyse croisée

Comparez les listes de modules de /proc/modules, lsmod et /sys/module pour identifier les modules cachés d'une vue mais présents dans une autre.

Étape 4 : Analyse en direct

Exécutez rkhunter et chkrootkit pour détecter les signatures de rootkits connus, les fichiers suspects et les binaires système modifiés.

Résultat attendu

Rapport JSON listant les hooks d'appels système détectés, les modules noyau cachés, les entrées IDT modifiées, les écarts suspects dans /proc, et les résultats de rkhunter.

Exemple de sortie

$ sudo python3 rootkit_analyzer.py --memory /evidence/linux-mem.lime --profile Ubuntu2204

Rapport d'analyse de rootkit du noyau Linux
=============================================
Image mémoire : /evidence/linux-mem.lime
Version du noyau : 5.15.0-91-generic (Ubuntu 22.04 LTS)
Heure d'analyse : 2024-01-18 09:15:32 UTC

[+] Analyse de la table des appels système pour les hooks...
    Adresse de base de la table des appels système : 0xffffffff82200300
    Nombre total d'appels système vérifiés : 449

    APPELS SYSTÈME HOOKÉS DÉTECTÉS :
    ┌─────────┬──────────────────┬──────────────────────┬──────────────────────┐
    │ NR      │ Appel système    │ Adresse attendue     │ Adresse actuelle     │
    ├─────────┼──────────────────┼──────────────────────┼──────────────────────┤
    │ 0       │ sys_read         │ 0xffffffff8139a0e0   │ 0xffffffffc0a12000   │
    │ 2       │ sys_open         │ 0xffffffff8139b340   │ 0xffffffffc0a12180   │
    │ 78      │ sys_getdents64   │ 0xffffffff813f5210   │ 0xffffffffc0a12300   │
    │ 62      │ sys_kill         │ 0xffffffff8110c4a0   │ 0xffffffffc0a12480   │
    └─────────┴──────────────────┴──────────────────────┴──────────────────────┘
    ATTENTION : 4 hooks d'appels système détectés - comportement de rootkit confirmé

[+] Recherche de modules noyau cachés...
    Modules chargés (lsmod) :         147
    Modules dans la liste kobject :   149
    MODULES CACHÉS :
      - "netfilter_helper" à 0xffffffffc0a10000 (taille : 12288)
      - "kworker_sched"    à 0xffffffffc0a14000 (taille : 8192)

[+] Analyse des écarts dans /proc...
    Processus dans la liste task_struct : 234
    Processus visibles dans /proc :       231
    PROCESSUS CACHÉS :
      - PID 31337  cmd : "[kworker/0:3]"   (déguisé en thread noyau)
      - PID 31442  cmd : "rsyslogd"         (faux, le vrai rsyslogd est PID 892)
      - PID 31500  cmd : ""                 (processus sans nom)

[+] Vérification des entrées IDT...
    Entrées IDT scannées : 256
    Entrées modifiées : 0 (sain)

[+] Exécution du scan rkhunter...
    Vérification des rootkits connus :        68 variantes vérifiées
    Rootkit Diamorphine :                ATTENTION - signatures correspondantes
    Vérification des binaires système :
      /usr/bin/ps :     MODIFIÉ (hash SHA-256 ne correspond pas)
      /usr/bin/netstat : MODIFIÉ (hash SHA-256 ne correspond pas)
      /usr/bin/ls :     MODIFIÉ (hash SHA-256 ne correspond pas)
      /usr/sbin/ss :    OK

[+] Analyse réseau...
    Connexions cachées (absentes de /proc/net/tcp) :
      ÉTABLIE  0.0.0.0:0 -> 198.51.100.47:4443 (PID 31337)
      ÉTABLIE  0.0.0.0:0 -> 198.51.100.47:8080 (PID 31442)

Résumé :
  Type de rootkit :         Module noyau chargeable (LKM)
  Famille probable :        Variante de Diamorphine
  Hooks d'appels système :  4 (read, open, getdents64, kill)
  Modules cachés :          2
  Processus cachés :        3
  Connexions cachées :      2 (C2 : 198.51.100.47)
  Binaires modifiés :       3 (/usr/bin/ps, netstat, ls)
  Niveau de risque :        CRITIQUE