Αυτοαποκρυπτόμενο rootkit ως Linux kernel module
Loading...
Date
2025-07-07
Authors
Παρασκευόπουλος, Φώτιος
Journal Title
Journal ISSN
Volume Title
Publisher
Abstract
Η παρούσα διπλωματική εργασία εστιάζει στα kernel-level rootkits για Linux, ένα από τα πιο δυσεντόπιστα και επικίνδυνα είδη κακόβουλου λογισμικού. Διαπιστώθηκε ερευνητικό κενό στην ακαδημαϊκή μελέτη Linux rootkits σε σύγκριση με τα αντίστοιχα για Windows. Έτσι το κενό αυτό καθιστά επιτακτική τη συστηματική κατανόηση των μηχανισμών απόκρυψης και ανίχνευσής τους. Βασικός στόχος ήταν η διερεύνηση τεχνικών stealth σε επίπεδο πυρήνα και η αξιολόγηση μεθόδων εντοπισμού, μέσωυλοποίησης ενός αυτοαποκρυπτόμενου rootkit ως Loadable Kernel Module (LKM).
Η μεθοδολογία συνδύασε θεωρητική κατηγοριοποίηση των rootkits με πρακτική ανάπτυξη δύο βασικών τεχνικών: hooking συστημικών κλήσεων μέσω του ftrace framework και Direct Kernel Object Manipulation (DKOM) για απόκρυψη δομών του αρχείου του συστήματος. Η υλοποίηση μεταγλωττίστηκε κατά την διάρκεια του build time του Linux kernel, δοκιμάστηκε σε απομονωμένο περιβάλλον nested-virtualization στο Microsoft Azure με virtme-ng και αξιολόγησε την αποτελεσματικότητα των προαναφερθέντων τεχνικών. Παράλληλα τέθηκαν ηθικά πλαίσια dual-use, με πειράματα αποκλειστικά σε ελεγχόμενα VMs και περιορισμένη δημοσιοποίηση κρίσιμου κώδικα.
Τα πειραματικά αποτελέσματα έδειξαν ότι το ftrace hook στη system call clone() επιτρέπει αδιάκριτη παρακολούθηση δημιουργίας διεργασιών, ενώ η DKOM τεχνική αποκρύπτει επιτυχώς αρχεία από εργαλεία επιπέδου χρήστη χωρίς τροποποίηση system-call tables. Εντοπίστηκε βέβαια ισχυρή εξάρτηση της λειτουργίας των Rootkit με τον τρόπο που παραμετροποιούνται τα Kernel Config Files, γεγονός που δυσχεραίνει τη διάδοσή του αλλά περιπλέκει και την ανίχνευσή του με συμβατικά signature-based μέσα.
Η εργασία συνεισφέρει με νέα συστηματική ταξινόμηση τεχνικών απόκρυψης, υβριδικό πλαίσιο ανίχνευσης που συνδυάζει στατική και δυναμική ανάλυση, καθώς και εμπειρικάδεδομένα σε cloud περιβάλλον. Συμπερασματικά, η ασφάλεια Linux απαιτεί προχωρημένους μηχανισμούς συνδυαστικής ανάλυσης μνήμης και cross-view validation,ενώ προτείνεται μελλοντική έρευνα σε eBPF rootkits, hypervisor-based introspection και ανίχνευση με μηχανική μάθηση.
Description
Keywords
Ασφάλεια υπολογιστών