리눅스 커널 루트킷 분석

리눅스 커널 루트킷 분석은(는) 무엇을 하나요?

개요

리눅스 커널 루트킷은 ring 0에서 동작하며, 커널 데이터 구조를 수정하여 프로세스, 파일, 네트워크 연결, 커널 모듈을 사용자 공간 도구로부터 숨깁니다. 탐지 방법에는 메모리 포렌식(Volatility3로 물리 메모리 덤프 분석) 또는 교차 뷰 분석(/proc, /sys, 커널 데이터 구조 간 불일치 비교)이 있습니다. 이 스킬은 Volatility3 리눅스 플러그인을 사용하여 시스템 콜 테이블 후크, 숨겨진 커널 모듈, 변조된 함수 포인터를 탐지하는 방법을 다루며, rkhunter 및 chkrootkit을 사용한 라이브 시스템 스캔을 보조로 합니다.

사용 시점

• 리눅스 커널 루트킷 분석이 필요한 보안 사고를 조사할 때
• 이 도메인에 대한 탐지 규칙 또는 위협 헌팅 쿼리를 구축할 때
• SOC 분석가가 이 분석 유형에 대한 구조화된 절차가 필요할 때
• 관련 공격 기술에 대한 보안 모니터링 적용 범위를 검증할 때

전제 조건

• Volatility3 설치 (pip install volatility3)
• 리눅스 메모리 덤프 (LiME, AVML, 또는 /proc/kcore로 획득)
• 대상 커널 버전과 일치하는 Volatility3 리눅스 심볼 테이블 (ISF)
• 라이브 시스템 스캔을 위한 rkhunter 및 chkrootkit
• 비교를 위한 알려진 정상 커널 이미지 참조

단계

1단계: 메모리 덤프 획득

LiME 커널 모듈 또는 클라우드 인스턴스용 AVML을 사용하여 리눅스 물리 메모리를 캡처합니다.

2단계: Volatility3로 분석

linux.check_syscall, linux.lsmod, linux.hidden_modules, linux.check_idt 플러그인을 실행하여 루트킷 아티팩트를 탐지합니다.

3단계: 교차 뷰 분석

/proc/modules, lsmod, /sys/module의 모듈 목록을 비교하여 한 뷰에서는 숨겨져 있지만 다른 뷰에서는 나타나는 모듈을 식별합니다.

4단계: 라이브 시스템 스캔

rkhunter와 chkrootkit을 실행하여 알려진 루트킷 서명, 의심스러운 파일, 변조된 시스템 바이너리를 탐지합니다.

예상 출력

탐지된 시스템 콜 후크, 숨겨진 커널 모듈, 변조된 IDT 항목, 의심스러운 /proc 불일치, rkhunter 결과를 포함한 JSON 보고서.

예시 출력

$ sudo python3 rootkit_analyzer.py --memory /evidence/linux-mem.lime --profile Ubuntu2204

Linux Kernel Rootkit Analysis Report
=====================================
Memory Image: /evidence/linux-mem.lime
Kernel Version: 5.15.0-91-generic (Ubuntu 22.04 LTS)
Analysis Time: 2024-01-18 09:15:32 UTC

[+] 시스템 콜 테이블 후크 스캔 중...
    시스템 콜 테이블 베이스: 0xffffffff82200300
    확인된 총 시스템 콜 수: 449

    후킹된 시스템 콜 탐지:
    ┌─────────┬──────────────────┬──────────────────────┬──────────────────────┐
    │ NR      │ Syscall          │ 예상 주소            │ 현재 주소            │
    ├─────────┼──────────────────┼──────────────────────┼──────────────────────┤
    │ 0       │ sys_read         │ 0xffffffff8139a0e0   │ 0xffffffffc0a12000   │
    │ 2       │ sys_open         │ 0xffffffff8139b340   │ 0xffffffffc0a12180   │
    │ 78      │ sys_getdents64   │ 0xffffffff813f5210   │ 0xffffffffc0a12300   │
    │ 62      │ sys_kill         │ 0xffffffff8110c4a0   │ 0xffffffffc0a12480   │
    └─────────┴──────────────────┴──────────────────────┴──────────────────────┘
    경고: 4개의 시스템 콜 후크 탐지 - 루트킷 행동 확인됨

[+] 숨겨진 커널 모듈 확인 중...
    로드된 모듈 (lsmod):         147
    kobject 목록의 모듈:        149
    숨겨진 모듈:
      - "netfilter_helper" at 0xffffffffc0a10000 (크기: 12288)
      - "kworker_sched"    at 0xffffffffc0a14000 (크기: 8192)

[+] /proc 불일치 스캔 중...
    task_struct 목록의 프로세스: 234
    /proc에서 보이는 프로세스:   231
    숨겨진 프로세스:
      - PID 31337  cmd: "[kworker/0:3]"   (커널 스레드로 위장)
      - PID 31442  cmd: "rsyslogd"         (가짜, 실제 rsyslogd는 PID 892)
      - PID 31500  cmd: ""                 (이름 없는 프로세스)

[+] IDT 항목 확인 중...
    스캔된 IDT 항목: 256
    변조된 항목: 0 (깨끗함)

[+] rkhunter 스캔 실행 중...
    알려진 루트킷 확인 중:        68개 변종 확인
    Diamorphine 루트킷:                경고 - 서명 일치
    시스템 바이너리 확인:
      /usr/bin/ps:     변조됨 (SHA-256 불일치)
      /usr/bin/netstat: 변조됨 (SHA-256 불일치)
      /usr/bin/ls:     변조됨 (SHA-256 불일치)
      /usr/sbin/ss:    정상

[+] 네트워크 분석...
    숨겨진 연결 (/proc/net/tcp에 없음):
      ESTABLISHED  0.0.0.0:0 -> 198.51.100.47:4443 (PID 31337)
      ESTABLISHED  0.0.0.0:0 -> 198.51.100.47:8080 (PID 31442)

요약:
  루트킷 유형:         로드 가능한 커널 모듈 (LKM)
  예상 계열:           Diamorphine 변종
  시스템 콜 후크:       4 (read, open, getdents64, kill)
  숨겨진 모듈:         2
  숨겨진 프로세스:     3
  숨겨진 연결:         2 (C2: 198.51.100.47)
  변조된 바이너리:     3 (/usr/bin/ps, netstat, ls)
  위험 수준:           치명적