Rootkits. Windows-Kernel unterwandern. Greg Hoglung, James Butler. An imprint of Pearson Education

Transkript

1 Greg Hoglung, James Butler Rootkits Windows-Kernel unterwandern An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam

2 Inhaltsverzeichnis Vorwort Danksagungen Über die Autoren Das Titelbild Keine Spuren hinterlassen Die Motive der Angreifer Die Bedeutung der Heimlichkeit Wann Heimlichkeit keine Rolle spielt Was ist ein Rootkit? Warum gibt es Rootkits? Remotesteuerung Software-Lauschangriffe Legale Einsatzgebiete für Rootkits Seit wann gibt es Rootkits? Wie funktionieren Rootkits? Patching EasterEggs Spyware-Modifikationen Quellcode-Modifikationen Wann ist Software-Modifikation illegal? Was Rootkits nicht sind Rootkits sind keine Exploits Rootkits sind keine Viren Rootkits und Software-Exploits Warum Exploits immer noch ein Problem darstellen Offensive Rootkit-Technologien HIPS NIDS

3 8 Inhaltsverzeichnis IDS/IPS umgehen Forensische Analysetools umgehen Zusammenfassung Den Kernel unterwandern Wichtige Kernel-Komponenten Rootkit-Design Code in den Kernel einführen Den Windows-Gerätetreiber erstellen Das Device Driver Development Kit Die Build-Umgebungen Die Dateien Das Build-Utility ausführen Die Entladeroutine Den Treiber laden und entladen Die Debug-Anweisungen protokollieren Fusion-Rootkits: die Brücke zwischen User- und Kernel-Mode E/A-Anforderungspakete Ein Datei-Handle erstellen Einen symbolischen Link hinzufügen Das Rootkit laden Die Quick-and-dirty-Methode zum Laden eines Treibers Die richtige Methode zum Laden eines Treibers Eine SYS-Datei von einer Ressource dekomprimieren Einen Neustart überstehen Zusammenfassung Die Hardware-Connection Ring Tabellen, Tabellen und noch einmal Tabellen Speicherseiten Einzelheiten der Tests beim Speicherzugriff Auslagerung und Adressübersetzung Seitentabellen-Lookups Der Eintrag im Seitenverzeichnis Der Eintrag in die Seitentabelle Schreibgeschützter Zugriff auf wichtige Tabellen Mehrere Prozesse, mehrere Seitenverzeichnisse Prozesse und Threads Die Deskriptortabellen des Speichers Die globale Deskriptortabelle Die lokale Deskriptortabelle Codesegmente Call-Gates

4 Inhaltsverzeichnis 9 Die Interrupt-Deskriptortabelle Andere Arten von Gates Die System Service Dispatch Table (SSDT) Die Steuerregister Steuerregister 0 (CR0) Andere Steuerregister Das EFlags-Register Multiprozessor-Systeme Zusammenfassung Die alte Kunst des Hooking Userland-Hooks Hooking in wichtige Importadressentabellen Hooking in Inline-Funktionen Eine DLL in Userland-Prozesse injizieren Kernel-Hooks Hooks für die System Service Descriptor Table Hooks für die Interrupt-Deskriptortabelle Hooks für die Haupt I/O Request Packet Funktionstabelle im Gerätetreiber-Objekt Ein gemischter Ansatz In den Adressraum eines Prozesses eindringen Speicherplatz für Hooks Zusammenfassung Runtime-Patching Detour-Patching Den Steuerungsfluss mit MigBot umleiten Auf Funktionsbytes prüfen Überschriebene Anweisungen festhalten NonPagedPool-Speicher verwenden Adressen zur Laufzeit ersetzen Sprung-Templates Der Interrupt-Hook als Beispiel Varianten der Methode Zusammenfassung Geschichtete Treiber Ein Tastatur-Sniffer I/O Request Packet (IRP) und Stackpositionen Eine Übersicht über das KLOG-Rootkit Dateifilter-Treiber Zusammenfassung

5 10 Inhaltsverzeichnis 7 Direkte Manipulation von Kernel-Objekten Vor- und Nachteile von DKOM Die Version des Betriebssystems bestimmen Automatische Bestimmung im Benutzermodus Automatische Bestimmung im Kernelmodus Die Version des Betriebssystems aus der Registry abrufen Kommunikation mit dem Gerätetreiber von Userland aus Tarnung mit DKOM Prozesse verbergen Gerätetreiber verbergen Synchronisationsprobleme Token-Privilegien und Gruppenbeförderungen mit DKOM Ein Prozess-Token ändern Die Windows-Ereignisanzeige fälschen Zusammenfassung Hardware-Manipulation Warum Hardware? Die Firmware verändern Zugriff auf die Hardware Hardware-Adressen Eine andere Form des Zugriffs als beim RAM Timing ist alles Der E/A-Bus Zugriff auf das BIOS Zugriff auf PCI- und PCMCIA-Geräte Beispiel: Zugriff auf den Tastatur-Controller Der 8259-Tastatur-Controller Die LED-Anzeige ändern Harter Neustart Eingaben überwachen Hacker-Limbo: Microcode-Update Zusammenfassung Verborgene Kanäle Remotesteuerung und Exfiltration von Daten Getarnte TCP/IP-Protokolle Vorsicht vor Mustern im Netzwerkverkehr Daten nicht im Klartext senden Lassen Sie die Zeit für sich arbeiten Verstecken Sie sich hinter DNS-Anforderungen Steganografie für ASCII-Nutzlasten Andere TCP/IP-Kanäle

6 Inhaltsverzeichnis 11 TCP/IP-Kernelunterstützung für Ihr Rootkit über TDI Die Adressstruktur erstellen Ein lokales Adressobjekt erstellen Einen TDI-Endpunkt mit Kontext erstellen Einen Endpunkt mit einer lokalen Adresse verknüpfen Verbindung mit einem Remoteserver aufnehmen (TCP-Handshake senden) Daten zu einem Remoteserver senden Manipulation von Rohpaketen im Netzwerk Raw-Sockets in Windows XP implementieren Bindung an ein Interface herstellen Sniffing mit Raw-Sockets Sniffing beliebiger Pakete mit Raw-Sockets Pakete über Raw-Sockets senden Die Quelle fälschen Pakete bouncen TCP/IP-Kernelunterstützung für Ihr Rootkit über NDIS Das Protokoll registrieren Die Callbacks des Protokolltreibers Ganze Pakete verschieben Host-Emulation Ihre MAC-Adresse erstellen Umgang mit ARP Das IP-Gateway Ein Paket senden Zusammenfassung Rootkits aufspüren Die Anwesenheit erkennen Die Tore bewachen Die»Räume«durchsuchen Nach Hooks suchen Das Verhalten erkennen Versteckte Dateien und Registrierungsschlüssel aufspüren Versteckte Prozesse aufspüren Zusammenfassung Index