직접 커널 객체 조작

직접 커널 객체 조작 (DKOM : Direct Kernel Object Manipulation)은 써드 파티 프로세스, 드라이버, 파일에 대한 잠재적인 손상 및 중계 연결을 작업 관리자와 이벤트 스케줄러로부터 숨기는데 사용되는 일반적인 루트킷 기법이다.

개요

DKOM을 사용하는 루트킷은 핵심부에서 자신을 객체 관리자 또는 작업 관리자로부터 숨긴다. 모든 활성화된 스레드 및 프로세스의 리스트를 포함하는 연결 리스트를 수정함으로써 이런 형태의 루트킷은 객체 관리자로부터의 모든 추적에서 숨을 수 있다. 이것이 가능한 이유는 커널과 적재 가능한 드라이버가 자신의 권한을 가진 접근으로부터 직접적으로 메모리를 통해 접근할 수 있기 때문이다. 시스템 커널이 실행 중인 모든 프로세스의 리스트를 찾고자 할 때는 EPROCESS에 의존한다. 그러나 윈도우 커널은 프로세스 기반이 아니라 스레드 기반이기 때문에 연결 리스트의 포인터는 부작용 없이 수정될 수 있다.[1] 루트킷 프로세스 자신을 감싸는 연결 리스트 포인터를 수정함으로써 루트킷은 윈도우 이벤트 뷰어 및 이 리스트에 의존하는 시스템 무결성 애플리케이션에서 보이지 않게 된다. 이것은 DKOM 루트킷이 대상 시스템에 대한 무한한 자유를 가질 수 있게 해준다.

DKOM 사용[2]

  • 프로세스 숨기기
  • 드라이버 숨기기
  • 포트 숨기기
  • 스레드와 프로세스의 권한 상승
  • 포렌식 우회
  • 시스템에 대한 완전한 제어

객체 관리자로부터 숨기기

객체로 표현되는 각 프로세스는 운영 체제 내에서 서로 연결된다. 각 프로세스 내부에는 현재, 다음 그리고 mutex_locked 스레드의 주소를 포함하는 공간의 집합이 선 할당되어 있다. 이 중요한 정보는 메모리의 EPROCESS에 목록화되어 있다; 객체 관리자의 섹션은 EPROCESS로도 불리는 실행중인 알려진 프로세스들의 더블 연결 리스트를 포함한다. 그러나 DKOM은 이 우리가 숨기고자 하는 이전 노드를 가리키는 front link (FLINK)를 그리고 마찬가지로 back link (BLINK)를 수정함으로써 구조체를 이용한다.[3] EPROCESS 블록의 세부 항목을 수정함으로써 현재 활성화된 프로세스들의 리스트는 숨겨진 프로세스를 둘러서 가리킨다. 프로세스가 숨겨졌기 때문에 이것은 근본적으로 스케줄러의 정밀 조사로부터 주어진 프로세스나 인젝터에 대한 증거를 숨겨준다.

이러한 타입의 루트킷과 관련된 중요한 점은 숨겨진 프로세스들이 다양한 문맥 전환들에도 불구하고 계속 실행될 수 있다는 점이다. 윈도우 스케줄러에서 스레드들은 프로세스가 아니라 작업(task)을 수행하기 위해 분리되어 있다. 대신 스레드는 주어진 시간 프레임 동안 여러 프로세스들을 호출한다. 이 프로세스는 스케줄러의 라운드 로빈 방식에 의해 제어되며 스레드들은 다른 스레드가 활성화되는 동안 대기 상태에 놓여진다. 비록 프로세스가 작업 관리자에게는 보이지 않지만 프로세스는 스레드가 활성화되어 있기 때문에 시스템과 동시에 실행된다.[4] 이것은 루트킷에 의해 만들어진 숨겨진 프로세스를 탐지하는 것을 극도로 어렵게 만든다.

탐지

루트킷을 탐지하는 것은 무결성 검사 및 행위 탐지를 포함한 여러 복잡한 단계로 나뉜다. CPU 사용, 네트워크 트래픽, 드라이버 시그니처 등을 검사함으로써 간단한 안티 바이러스 도구들은 흔한 루트킷들을 탐지할 수 있다. 그러나 이것은 커널 형태의 루트킷의 경우에는 통하지 않는다. 왜냐하면 이러한 형태의 루트킷들이 시스템 테이블이나 이벤트 뷰어, 루트킷 탐지로부터 숨기 위해 사용하는 방법으로 인해 후킹된 함수들을 찾는 것을 필요로하기 때문이다. 이것은 구현하기 매우 힘들 뿐만 아니라 또한 EPROCESS의 모든 노드에서 각각 반복할 필요가 있다. 그러나 비록 어느 악의적인 프로세스들의 존재가 물리적으로 핸들러에서 존재하지 않는다고 해도 호출들은 반드시 백그라운드에 있어야 한다. DKOM 루트킷이 성공하기 위해서는 자신의 존재를 EPROCESS에 있는 모든 단일 참조로부터 숨겨야 한다.[5] 이것은 루트킷이 일상적으로 어느 자신을 가리키는 어느 링크도 만들어지지 않도록 업데이트해야 한다는 것을 의미한다. 스케줄러에서 모든 개체에 각각 반복함으로써 DKOM 루트킷을 탐지하는 것은 가능하게 된다. 특정한 메모리 패턴들이나 행위들이 스케줄러에서 발견된다면 실제 루트킷도 결국 탐지할 수 있게 된다.[5]

같이 보기

각주

  1. ↑ https://www.blackhat.com/presentations/win-usa-04/bh-win-04-butler.pdf Butler, Jamie.
  2. ↑ http://bsodtutorials.blogspot.com/2014/01/rootkits-direct-kernel-object.html Miller, Harry.
  3. ↑ http://fluxius.handgrep.se/2011/01/02/ring-0f-fire-rootkits-and-dkom/ Archived 2017년 5월 20일 - 웨이백 머신 FlUxIuS Ring Of Fire: Rootkits.
  4. ↑ https://www.symantec.com/avcenter/reference/when.malware.meets.rootkits.pdf Archived 2017년 8월 28일 - 웨이백 머신 Florio, Elia.
  5. ↑ 가 나 http://jessekornblum.com/presentations/dodcc11-2.pdf Archived 2016년 6월 15일 - 웨이백 머신 jessekornblum.

외부 링크

Read other articles:

Aquilinae

Aquilinae adala subfamili terdiri dari anggota dari famili Accipitridae. Sistematik Image Genus Living Species Stephanoaetus Sclater, 1922 S. coronatus- Crowned eagle Nisaetus Hodgson, 1836 N. nipalensis- Elang mountain N. kelaarti- Legge's hawk-eagle N. bartelsi- Elang Jawa N. nanus- Elang Wallace N. alboniger- Blyth's hawk-eagle N. lanceolatus- Elang Sulawesi N. philippensis- Philippine hawk-eagle N. pinskeri- Pinsker's hawk-eagle N. cirrhatus- Changeable hawk-eagle N. floris- Elang Flores ...

 

Umberto Colombo (calciatore)

Umberto Colombo Colombo alla Juventus nella stagione 1957-58 Nazionalità  Italia Altezza 183 cm Peso 77 kg Calcio Ruolo Centrocampista Termine carriera 1967 Carriera Giovanili 19??-19?? Juventus Squadre di club1 1951-1952 Juventus0 (0)1952-1954→  Monza48 (10)1954-1961 Juventus173 (22)1961-1966 Atalanta142 (3)1966-1967 Verona4 (0) Nazionale 1959-1960 Italia3 (0) 1 I due numeri indicano le presenze e le reti segnate, per le sole partite di campionato.Il si...

 

Great Swamp Fight

1675 battle of King Philip's War This article is about the battle of King Philip's War. For the battle of the Pequot War, see Fairfield Swamp Fight. Great Swamp MassacrePart of King Philip's WarA painting of the Great Swamp MassacreDateDecember 19, 1675LocationSouth Kingstown, Rhode Island41°28′07″N 71°35′44″W / 41.46861°N 71.59556°W / 41.46861; -71.59556Result New England victoryBelligerents New England ConfederationPequotsMohegans NarragansettsCommanders ...

Ustica

Disambiguazione – Se stai cercando altri significati, vedi Ustica (disambigua). Usticacomune Ustica – VedutaPanorama di Ustica LocalizzazioneStato Italia Regione Sicilia Città metropolitana Palermo AmministrazioneSindacoSalvatore Militello (lista civica L'isola - Militello sindaco) dal 10-6-2018 (2º mandato dal 29-5-2023) TerritorioCoordinate38°43′N 13°11′E / 38.716667°N 13.183333°E38.716667; 13.183333 (Ustica)Coordinate: 38°...

 

Volvo XC90

Le XC90 est un SUV de luxe du constructeur automobile suédois Volvo commercialisé depuis octobre 2002. La seconde génération est sortie fin 2014. Première génération (2002 - 2014) Volvo XC90 Appelé aussi Volvo XC Classic Marque Volvo Années de production 2002 - 2016Europe : 2002 - 2014 Production 646 000 exemplaire(s) Classe SUV Moteur et transmission Moteur(s) Essence :T5 2.5 210chT6 2.9 272 ch3.2i 3.2 238/243chV8 4.4 315 chDiesel :D5 2.4 163/185/200D3/D4 2....

 

Accelerate (R.E.M. album)

2008 album by R.E.M. AccelerateStudio album by R.E.M.ReleasedMarch 31, 2008 (2008-03-31)RecordedJune–July 2007StudioArmoury Studios, Vancouver, British Columbia, Canada; Grouse Lodge Studios, County Westmeath, Ireland; and Seney-Stonewall Chapel, Athens, Georgia, United States; additional recording in Olympia Theatre, Dublin, Ireland, and Mike Mills' home in Athens, GeorgiaGenreHard rock[1]punk rock[2]glam rock[3]jangle pop[3]Length34:39Lab...

Halls of Anger

1970 film by Paul Bogart Halls of AngerTheatrical release posterDirected byPaul BogartWritten byJohn Herman ShanerAl RamrusProduced byHerbert HirschmanWalter MirischStarringCalvin LockhartJanet MacLachlanJames A. Watson Jr.Jeff BridgesCinematographyBurnett GuffeyEdited byBud MolinMusic byDave GrusinProductioncompanyThe Mirisch CorporationDistributed byUnited ArtistsRelease date April 29, 1970 (1970-04-29) (United States) Running time96 minutesCountryUnited StatesLanguageEng...

 

Unione Sportiva Cremonese 1989-1990

Voce principale: Unione Sportiva Cremonese. Unione Sportiva CremoneseStagione 1989-1990 Sport calcio Squadra Cremonese Allenatore Tarcisio Burgnich Presidente Domenico Luzzara Serie A17º posto (retrocessa in Serie B) Coppa ItaliaSecondo turno eliminatorio Maggiori presenzeCampionato: Dezotti (32) Miglior marcatoreCampionato: Dezotti (13)Totale: Dezotti (15) StadioStadio Giovanni Zini 1988-1989 1990-1991 Si invita a seguire il modello di voce Questa voce raccoglie le informazioni riguar...

 

Mikhail Lermontov

Mikhail Yuryevich LermontovMikhail Lermontov pada tahun 1837 - Lukisan oleh Pyotr ZabolotskyLahirOktober 15 [K.J.: Oktober 3] 1814Moskow, Kekaisaran RusiaMeninggalJuli 27 [K.J.: Juli 15] 1841 (umur 26)Pyatigorsk, Kekaisaran RusiaPekerjaanPenyajr, novelis, penulis drama, pelukisTanda tangan Mikhail Yuryevich Lermontov 15 Oktober [K.J.: 3 Oktober] 1814 – 27 Juli [K.J.: 15 Juli] 1841) adalah penyair genius Rusia. Biografi Lermontov lahir di Moskow. Ayahnya seorang pegawai pensiun, ibunya ...

Netherlands Antilles

1954–2010 Caribbean constituent country of the Netherlands This article is about the former constituent country of the Kingdom of the Netherlands. For the Dutch Caribbean islands in general, see Dutch Caribbean. For the current integral territories of the constituent country of the Netherlands, see Caribbean Netherlands. N.W.I. redirects here. For other uses, see NWI (disambiguation). Netherlands AntillesLand Nederlandse Antillen (Dutch)Pais Antia Hulandes (Papiamento)1954–2010 ...

 

Bayan-Ölgii Province

Westernmost Mongolian province This article is about the aimag (province) in Mongolia. For other uses, see Ölgii (disambiguation). Province in MongoliaBayan-Ölgii Province Баян-Өлгий аймагᠪᠠᠶ᠋ᠠᠨᠥᠯᠦᠭᠡᠢᠠᠶᠢᠮᠠᠭProvinceÖlgii FlagCoat of armsCoordinates: 48°18′N 89°30′E / 48.300°N 89.500°E / 48.300; 89.500CountryMongoliaEstablished1939CapitalÖlgiiGovernment • GovernorD. Bayirjan[1]Area •...

 

Sonnie Hale

English actor and director Sonnie HaleCigarette card, 1934BornJohn Robert Hale-Monro[1](1902-05-01)1 May 1902London, EnglandDied9 June 1959(1959-06-09) (aged 57)London, EnglandOccupationsActorscreenwriterdirectorSpouses Evelyn Laye ​ ​(m. 1926; div. 1930)​ Jessie Matthews ​ ​(m. 1931; div. 1944)​ Mary Kelsey ​ ​(m. 1947; div. 1957)​ Child...

Kh-15

Raduga Kh-15 atau RKV-15 (Rusia: Х-15; NATO: AS-16 'Kickback'; Grau:) adalah rudal aero-balistik hipersonik Rusia yang dilakukan oleh pesawat Tupolev Tu-22m dan pembom lainnya. Rudal ini mirip dengan senjata nuklir US Air Force 's AGM-69 SRAM, versi dengan hulu ledak konvensional telah dikembangkan.[1] Peningkatan yang sedang dikembangkan dibatalkan pada tahun 1991, tetapi laporan pada tahun 1998 menunjukkan bahwa peningkatan Kh-15 dapat dipasang pada pesawat taktis Su-35 (Flanker-E...

 

S&M

S&MBerkas:Rihanna S&M.jpgSingel oleh Rihannadari album LoudDirilis21 Januari 2011 (2011-01-21)FormatCD singel, unduhan digitalDirekam2010; Roc the Mic Studios (New York City); Westlake Recording Studios (LA, California); The Bunker Studios (Paris, Prancis)GenreEurodance, dance-popDurasi4:03 (versi album)LabelDef Jam RecordingsPenciptaMikkel S. Eriksen, Tor Erik Hermansen, Corey Jackson Carter, Sandy Wilhelm, Ester DeanProduserStargate, Sandy Vee Sampul single remix Sampul single...

 

70e méridien ouest

Cercle Arctique T. Cancer Équateur T. Capricorne Cercle AntarctiqueTracé du méridien de 70° ouest En géographie, le 70e méridien ouest est le méridien joignant les points de la surface de la Terre dont la longitude est égale à 70° ouest. Géographie Dimensions Comme tous les autres méridiens, la longueur du 70e méridien correspond à une demi-circonférence terrestre, soit 20 003,932 km. Au niveau de l'équateur, il est distant du méridien de Greenwich de 7&#...

عنجر

عنجر   الاسم الرسمي عنجر  الإحداثيات 33°43′33″N 35°55′47″E / 33.725833333333°N 35.929722222222°E / 33.725833333333; 35.929722222222   تقسيم إداري  البلد لبنان[1]  التقسيم الأعلى قضاء زحلة  خصائص جغرافية  المساحة 20 كيلومتر مربع  ارتفاع 950 متر  عدد السكان  عدد السكان 2400 &#...

 

Siddha medicine

System of traditional medicine originating in southern India This article is part of a series onAlternative medicine General information Alternative medicine History Terminology Alternative veterinary medicine Quackery (health fraud) Rise of modern medicine Pseudoscience Antiscience Skepticism Scientific Therapeutic nihilism Fringe medicine and science Acupressure Acupuncture Alkaline diet Anthroposophic medicine Apitherapy Applied kinesiology Aromatherapy Association for Research and Enlight...

 

Alice Tully Hall

Concert hall at Lincoln Center in New York City Alice Tully HallAlice Tully Hall in Juilliard School buildingAddress1941 BroadwayLocationNew York City, New York, United StatesCoordinates40°46′24″N 73°58′56″W / 40.77333°N 73.98222°W / 40.77333; -73.98222Public transitSubway: (all times)​ (late nights) at 66th Street–Lincoln CenterNYC Bus: M5, M7, M11, M20, M66, M104OwnerLincoln Center for the Performing ArtsTypeConcert hallCapacity1,086OpenedSeptembe...

Kup kralja Aleksandra

Kup kralja AleksandraSport Calcio TipoRappresentative delle sottofederazioni Paese Regno dei Serbi, Croati e Sloveni OrganizzatoreJNS FormulaEliminazione diretta StoriaFondazione1924 Soppressione1927 Numero edizioni4 Ultimo vincitoreBelgrado XI Record vittorieZagabria XI (3) Modifica dati su Wikidata · Manuale Le Kup kralja Aleksandra (it. Coppa del Re Alessandro) fu una competizione calcistica organizzata dalla JNS, la federazione calcistica del Regno dei Serbi, Croati e Sloveni.[1...

 

Pemilihan umum Wali Kota Tanjungpinang 2024

Pemilihan umum Wali Kota Tanjungpinang 20242018202927 November 2024Kandidat Peta persebaran suara Bupati petahanaRahma Partai Golongan Karya Bupati terpilih belum diketahui Pemilihan umum Wali Kota Tanjungpinang 2024 dilaksanakan pada 27 November 2024 untuk memilih Wali Kota Tanjungpinang periode 2024-2029.[1] Pemilihan Wali kota (Pilwalkot) Tanjungpinang tahun tersebut akan diselenggarakan setelah Pemilihan umum Presiden Indonesia 2024 (Pilpres) dan Pemilihan umum legislatif Indones...