Αυτοαποκρυπτόμενο rootkit ως Linux kernel module
| datacite.contributor.Supervisor | Ιωάννης Σταματίου | |
| datacite.contributor.Supervisor | Αριστείδης Ηλίας | |
| dc.contributor.author | Παρασκευόπουλος, Φώτιος | |
| dc.contributor.other | Paraskevopoulos, Fotios | |
| dc.date.accessioned | 2025-07-11T11:26:18Z | |
| dc.date.available | 2025-07-11T11:26:18Z | |
| dc.date.issued | 2025-07-07 | |
| dc.degree | masterThesis | |
| dc.description.abstract | Η παρούσα διπλωματική εργασία εστιάζει στα kernel-level rootkits για Linux, ένα από τα πιο δυσεντόπιστα και επικίνδυνα είδη κακόβουλου λογισμικού. Διαπιστώθηκε ερευνητικό κενό στην ακαδημαϊκή μελέτη Linux rootkits σε σύγκριση με τα αντίστοιχα για Windows. Έτσι το κενό αυτό καθιστά επιτακτική τη συστηματική κατανόηση των μηχανισμών απόκρυψης και ανίχνευσής τους. Βασικός στόχος ήταν η διερεύνηση τεχνικών stealth σε επίπεδο πυρήνα και η αξιολόγηση μεθόδων εντοπισμού, μέσωυλοποίησης ενός αυτοαποκρυπτόμενου rootkit ως Loadable Kernel Module (LKM). Η μεθοδολογία συνδύασε θεωρητική κατηγοριοποίηση των rootkits με πρακτική ανάπτυξη δύο βασικών τεχνικών: hooking συστημικών κλήσεων μέσω του ftrace framework και Direct Kernel Object Manipulation (DKOM) για απόκρυψη δομών του αρχείου του συστήματος. Η υλοποίηση μεταγλωττίστηκε κατά την διάρκεια του build time του Linux kernel, δοκιμάστηκε σε απομονωμένο περιβάλλον nested-virtualization στο Microsoft Azure με virtme-ng και αξιολόγησε την αποτελεσματικότητα των προαναφερθέντων τεχνικών. Παράλληλα τέθηκαν ηθικά πλαίσια dual-use, με πειράματα αποκλειστικά σε ελεγχόμενα VMs και περιορισμένη δημοσιοποίηση κρίσιμου κώδικα. Τα πειραματικά αποτελέσματα έδειξαν ότι το ftrace hook στη system call clone() επιτρέπει αδιάκριτη παρακολούθηση δημιουργίας διεργασιών, ενώ η DKOM τεχνική αποκρύπτει επιτυχώς αρχεία από εργαλεία επιπέδου χρήστη χωρίς τροποποίηση system-call tables. Εντοπίστηκε βέβαια ισχυρή εξάρτηση της λειτουργίας των Rootkit με τον τρόπο που παραμετροποιούνται τα Kernel Config Files, γεγονός που δυσχεραίνει τη διάδοσή του αλλά περιπλέκει και την ανίχνευσή του με συμβατικά signature-based μέσα. Η εργασία συνεισφέρει με νέα συστηματική ταξινόμηση τεχνικών απόκρυψης, υβριδικό πλαίσιο ανίχνευσης που συνδυάζει στατική και δυναμική ανάλυση, καθώς και εμπειρικάδεδομένα σε cloud περιβάλλον. Συμπερασματικά, η ασφάλεια Linux απαιτεί προχωρημένους μηχανισμούς συνδυαστικής ανάλυσης μνήμης και cross-view validation,ενώ προτείνεται μελλοντική έρευνα σε eBPF rootkits, hypervisor-based introspection και ανίχνευση με μηχανική μάθηση. | |
| dc.description.translatedabstract | This thesis investigates Linux kernel-level rootkits, one of the most stealthy and disruptive malware families. While Windows Rootkits have been extensively analyzed,the Linux landscape remains under-researched, a gap that hinders the development of effective countermeasures. The primary objective was to explore contemporaryconcealment techniques and detection approaches by implementing a self-hiding rootkit as a Loadable Kernel Module (LKM). The study combines a comprehensive taxonomy of rootkit evasion methods with the practical development of two advanced techniques: system-call hooking via the ftraceframework and Direct Kernel Object Manipulation (DKOM) to tamper with kernel data structures. The prototype was compiled within the kernel build process and evaluatedinside a nested-virtualized Azure environment using virtme-ng. Ethical dual-use considerations were addressed through strict sandboxing and restricted disclosure ofsensitive code segments.Experimental results show that an ftrace hook on the clone() system call enables transparent monitoring of process creation, whereas DKOM successfully hides selected directory entries from user-space utilities without modifying the syscall table. The rootkit proved highly dependent on the target kernel configuration, limiting mass deploymentbut complicating signature-based detection.Contributions include a refined classification of Linux rootkit techniques, a hybrid detection framework that merges static module analysis with real-time syscall tracing,and empirical insights gathered from cloud-based experimentation. The findings underline the need for advanced memory forensics and cross-view consistency checks,and suggest future work on eBPF-driven rootkits, hypervisor-assisted introspection, and machine-learning-aided detection strategies. | |
| dc.identifier.uri | https://hdl.handle.net/10889/30101 | |
| dc.language.iso | el | |
| dc.rights | Attribution 3.0 Greece | en |
| dc.rights.uri | http://creativecommons.org/licenses/by/3.0/gr/ | |
| dc.subject | Ασφάλεια υπολογιστών | |
| dc.subject.alternative | Cybersecurity | |
| dc.subject.alternative | Rootkit | |
| dc.subject.alternative | Linux | |
| dc.title | Αυτοαποκρυπτόμενο rootkit ως Linux kernel module | |
| dc.title.alternative | Self-hiding rootkit as Linux kernel module |
Files
Original bundle
1 - 1 of 1
Loading...
- Name:
- Self-hiding rootkit as Linux Kernel Module - Thesis.pdf
- Size:
- 2.73 MB
- Format:
- Adobe Portable Document Format
License bundle
1 - 1 of 1
No Thumbnail Available
- Name:
- license.txt
- Size:
- 5.02 KB
- Format:
- Item-specific license agreed upon to submission
- Description: