問題タブ [rootkit]

ユーザーからプロセスを隠す一般的な方法は、/proc ディレクトリの iterate 関数をハイジャックすることです。これは次のように行うことができます。

元の繰り返し機能を復元したい検出方法に取り組んでいます（すでにハイジャックされていると仮定します）。/proc ディレクトリに使用される元の反復関数を見つける方法はありますか?

端末に ~$E THINKERS.docx という名前のファイルが見つかりました。rm コマンドを使用して削除しようとしましたが、そのようなファイルが見つからないというメッセージが表示され続けます。私のアンチウイルスはそれを検出しないので、ルートキットだと思います。誰でも私がそれを取り除くのを手伝ってくれますか?

ルートキットについて知ったので、サンプルコードを練習しようとしましたが、wdm ドライバーをビルドできません (KMDF しかできません)。

VS 2013 で学習する方法または良い場所を教えてもらえますか??

(または、KMDF を使用したルートキット チュートリアルの良い例)

ほとんど標準の Fedora 23 インストール (それが役立つ場合はデフォルトの SELinux) を BitBucket の SSH 認証ウォールにキーペアリングするための回避策を見つける代わりに、私は Smartgit をインストールするために取り組んできましたが、現在のリビジョンは JRE のスコープを設定していないようです。 $PATH にエクスポートするコピーの数。私の願いは、Smartgit が理解できれば、彼らの Oauth 実装に面倒な作業を任せることができるということです。私はこれについて長い間論争してきたので、Syntevo にいくつかの RPM を無料でビルドすることさえ申し出ました。

F23 で Smartgit を取得するための確実なワークフローを定義した人はいますか? VM やコード ボール関連のソリューションにはオープンですが、ディストリビューションの更新をバックトラックすることは、まだ準備ができていないか、実行するつもりはありません。

私の最初の要件が関連していると強く疑っているのは、Ebury Windigo SSH エクスプロイトです。何か新しいボットネットのルーティング バックエンドを形成していると思われます。F23 のインストールが chkrootkit によって影響を受けていることがわかりました。現在わかっていることは、GKSU パーミッションを介してリモート SSH ログイン権限を無効にすると、それによって引き起こされたネットワークのボトルネックが修正されたということです。できれば、SSH ワーム自体の解決策を投稿します。誰かが lib-keyutils のクリーンな gpg-checksum コピーを持っている場合、これらの奇妙なクライアントではなく、誰もが端末に快適に滞在できるようにする回答を投稿できるはずです。

私が SSH 経由で連絡した唯一の 2 つのホストは Bitbucket と Github です: *Nix または OSX ユーザーがそうできる場合は、パッチが公開されるまで、または少なくとも SSH がこれらの脆弱性を回避できるようになるまで、これらのホストを避けることを強くお勧めします。または、少なくともそのような注射を許可していないことが確認できるまで。これがどこから来たのかはまだわかりません。このワームはバージョンアップされており、多くのアップストリーム リポジトリに再帰的に拡散していると言えます。

これについて Syntevo サポートからの返信を待っていることを付け加えておきます。Fedora コミュニティには、Canonical 側から見ると、ある程度の不快感があるようです。

Android 4.4.4 で sys_call をフックしようとしましたが、カーネル バージョンは 3.4 で、LKM を使用して実行しています。まず、SMS の送信またはダイヤル動作を取得するために sys_write をフックしようとします。これが私のフック sys_write コードです。

実際、SMSやダイヤル番号を送信すると情報をキャプチャできますが、SMSの内容についての詳細を取得することはできません. .次に、SMSまたは電話を受信したときに情報をキャプチャするためにsys_readをフックしようとしましたが、結果はnullです。フックsys_readコードは次のとおりです。

キーワード "AT+CLCC" または "AT+CMGR" をキャプチャできず、結果は何もありません。情報を取得できない理由とその解決方法を教えてください。よろしくお願いします。

次のコードを使用して、Win7-32​​bit SSDT テーブルをフックするドライバーを作成します。Greg & Jamie の本からそのまま引用されています。メインからフックコードを呼び出すことさえしないことに注意してください。

main.c http://pastebin.com/Ck8FSVbv

SSDT_Hook.h http://pastebin.com/y1ssD1ni

ロードしようとすると、sc.exe がエラー 2 を返します。

しかし、理由がわかりません。同様の質問に答えが見つかりませんでした。