Linux系统下的HDD Rootkit分析 | WooYun知识库
source link:
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
Linux系统下的HDD Rootkit分析
0x01 概况
前段时间，卡巴斯基捕获到Winnti网络犯罪组织在Windows下进行APT攻击的通用工具——HDD Rootkit。近期，腾讯反病毒实验室在Linux系统下也捕获到同类工具。Winnti组织利用HDD Rootkit在Windows和Linux系统下进行持续而隐蔽的APT攻击。经分析发现，HDD Rootkit先是篡改系统的引导区，然后在进入Linux系统前利用自带的Ext文件系统解析模块，将隐藏在硬盘深处的后门文件解密出来后加入到开机启动脚本或系统服务里。目前受攻击的系统有Centos和Ubuntu。
(图1：HDD Rootkit在Linux下的攻击流程)
0x02 HDD Rootkit在 Linux下的详细分析
1、过程展示
分析HDD Rootkit：
（图2：分析HDD Rootkit得到的参数提示）
运行HDD Rootkit：
(图3：运行HDD Rootkit工具)
通过图3，能看出HDD Rootkit平台已经把RKimage和Backdoor解密并写入扇区里面，而且计算了他们的Crc16值(这部分后面有更详细的分析）。接下来我们看看mbr的变化：一是第一扇区已经被改写(如图4)；二是开机瞬间显示出HDD Rootkit的调试信息（如图5）。当系统中毒以后,第1扇区存放病毒的MBR，第25扇区存放BootCode，第26与第27扇区存放加密后的原始MBR。
（图4： 左边是被修改的mbr，右边是原始的mbr）
（图5：开机时RKimage的输出信息，注意：debug版本才有信息输出）
2、安装阶段详细分析
(1) 运行安装方式与参数：
（图6：hdroot_32_bin安装方式）
在Linux下运行HDD Rootkit 如 ./root_32_bin inst ./createfile 1。其中第一个参数是安装类型，第二个参数是后门文件，第三个参数是启动类型(共三种开机启动方式)。
(2) HDD Rootkit的文件存储和隐藏：
HDD Rootkit早期的版本是把MBR、Boot Code、RKimage等放在程序资源里面，在Linux系统下则是把这些文件加密存储在安装器里面。以下分析HDD Rootkit如何将加密好的MBR、Boot Code、RKimage解密出来，又重新加密写入到第一个扇区和空闲的扇区里面。
(图7：左边是加密的结构体，右边是解密过程)
HDD Rootkit将Rkimage 和Backdoor再次加密后写入扇区，将后门文件藏得更深。
(图8：将RKimage和Backdoor文件写入扇区)
获取引导盘，准备写入MBR和Bootcode，步骤如图9和图10所示。
(图9：步骤一)
(图10：步骤二)
(3) RKimage 功能分析
RKimage是HDD Rootkit下释放的子工具。RKimage不依赖于操作系统，直接解析文件系统，能根据不同的安装情况，把后门加入开机启动。
RKimage模块：
- 由Bootcode拉起，将实模式切换到保护模式；
- 实现Ext文件系统解析与读写功能；
- 把隐藏在扇区的后门写成文件，根据不同的情况增加开机启动项。
(图11：RKimage的文件系统解析模块的字符串提示)
第一种开机启动方式：
(图12：/etc/rc*.d/S7*cdiskmon 类型)
第二种开机启动方式：
(图13：/etc/rc.d/rc.local类型)
第三种开机启动方式：
(图14：SYSTEMD类型)
(4) 后门文件
由于获取的程序样本有限，在分析过程中并没有获取真正有效的Backdoor文件，所以整个攻击的完整流程和木马如何把信息向外通信并未分析到。因此，自主构造了一个写文件的可执行程序。
3、 调试 HDD Rootkit的MBR、Bootcode、RKImage关键节点
(图15：中毒后的第一扇区)
(图16：HDD加载Bootcode)
(图17：从Bootcode进入到RKimage模块)
(图18：RKimage模块加载GDTR)
(图19：RKimage模块里面准备切换到保护模式)
(图20：RKimage模块准备执行功能)
(图21：RKimage模块输出功能代码的调息信息)
Recommend
-
96
静态分析一款锁首的RootKit样本
-
11
Cisco IOS Rootkit工具该怎么写 virustracker
-
14
Linux下基于内存分析的Rootkit检测方法 路人甲
-
6
恶意软件Linux/Mumblehard分析 杀戮 ·
-
15
linux ddos恶意软件分析 winsyk ·
-
47
前言 Linux作为服务器和IoT设备使用的主要操作系统,针对它的恶意软件也层出不穷。针对Linux设备的恶意软件（以下称为rootkit）通常需要长期驻留于目标操作系统以达到获利目的，所以如何实现驻留也是Linux rootkit作者的重点考...
-
13
Linux系统迁移记录(从HDD到SSD) 我把HDD上的Linux迁移到SSD上，重装系统太麻烦了，所以我直接拷贝整个系统，然后重建引导恢复，以下是记录。 首先把SSD换上去，HDD用硬盘盒连接。 从U盘启动后，将SSD分区做好，分别将SSD系统盘和HD...
-
28
BrokePkg Brokepkg is a LKM rootkit for Linux Kernels 2.6.x/3.x/4.x/5.x and ARM64, with suport after kernel 5.7, without kallsyms_lookup_name. Tested on Kali linux: 5.10.0-kali3...
-
5
Introduction Rootkits are dangerous pieces of malware. Once in place, they are usually really hard to detect. Their code is typically more challenging to write than other malware, so developers resort to code reuse from open source pro...
-
4
在linux下用SSD盘来加速HDD硬盘 2024-01-23 1 分钟阅读
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK