Sajnos megjelent a legújabb adore rootkit, amely már használható a 2.6-os kernelekhez is, így fokozott figyelemmel kell lennünk!
Az adore-ng nem más, mint egy kernel modul, amelynek célja, hogy a cracker kezébe teljes irányítást adjon afelett a rendszer felett, amelyet már egyszer feltört. Mindezt úgy, hogy saját maga ne legyen detektálható.
Az rootkit számos ponton ``telepíti'' magát a kompromittált rendszer kernelében, így biztosítva, hogy felfedezhetetlen legyen. Egészen addig észrevétlen próbál maradni, amíg nem jön valaki, aki tudja a helyes ``KEY''-t (ADORE_KEY), amely nem más, mint egy process ID. Ha valaki nem tudja ezt a ``kulcsot'', akkor bizony nem egyszerű felfedezni az adore-ng-t.
Lássuk miért:Az adore-ng több álcázó mechanizmussal is fel van szerelve. Felejtsük el, hogy egy egyszerű chkrootkit programmal detektálni tudjuk.
A kernel modul azzal kezdi ténykedését, hogy hozzáhurkolja magát több filerendszerhez is.
1.) File és könyvtár rejtés: Az első dolog amit megtesz, hogy a root filerendszer inode-jainak readdir() függvény mutatóját lecserélni a sajátjára. Az adore-féle verzió is pontosan ugyanazt teszi, mint az eredeti, annyi különbséggel, hogy elrejt minden olyan filet amely egy megadott felhasználó vagy csoport tulajdonában van (ELITE_UID, ELITE_GID). Ezzel a script kiddie által telepített fileok láthatatlanok maradnak a rendszergazda számára.
2.) Processz rejtés: Hasonlóan hurkolja magát a /proc filerendszer lookup funkciójához. Ezzel lehetővé teszi, hogy a top, ps, stb. parancsok nem listázzák ki a betörő processzeit.
3.) Socket rejtés: Az adore-ng lecseréli a /proc/net/tcp show() függvényét is. Az új verzió editálja a hálózati kapcsolatok listáját, így eltüntet minden olyan kapcsolatra utaló jelet, amely a betörőre utalna.
Egyéb funkciók:
4.) Teljes értékű backdoor.
5.) syslog szűrés, wtmp/utmp/lastlog szűrés, stb.
A kernel modul egyetlen dologra nem képes, mégpedig elrejteni saját magát. Ezt azt jelenti, hogy a betöltött kernel modulok listázásakor (lsmod) látszik. Ezt kiküszöbölendő, a készítő szerkesztett egy másik kernel modult, amely a cleanup névre hallgat, így az elrejti a adore-ng-t.
Használata:
insmod ./adore-ng.o
insmod ./cleaner.o
rmmod cleaner
Érdemes tanulmányozni a forráskódot, hogy jobban megismerjük a működését.
A rootkit letölthető innen.
