Los Rootkits son un tipo de malware utilizado por los hackers con el objetivo de ocultar información que podría delatar su presencia en aquellas máquinas a las que ya han conseguido acceso.
A pesar de su nombre, no debemos confundirnos y pensar que un root kit es una aplicación diseñada para conseguir acceso como root en un sistema. Los root kits siempre son usados una vez que hemos conseguido el acceso (generalmente inmediatamente despues) con dos objetivos fundamentales:
1. Ocultar las huellas tanto del propio root kit como de cualquier otro malware que hayamos instalado en la máquina victima
2. Dejar preparada una puerta trasera a través de la cual facilitarnos el acceso a la máquina víctima en el futuro.
Existen varios tipos y clasificaciones de root kits, pero fundamentalmente podemos distinguirlos en dos grandes clases:
* Rootkits a nivel de aplicación
* Rootkits a nivel de kernel
Los root kits a nivel de aplicación se encargan de inyectar código malicioso en la capa de aplicación, reescribiendo de alguna manera el comportamiento por defecto de algunas aplicaciones de la máquina víctima. Por ejemplo se podría hacer que cada vez que se ejecutar el comando ps no mostrara determinados procesos.
Estos root kits de aplicación son relativamente fáciles de detectar, ya que los antivirus tienen almacenadas las firmas digitales de muchas aplicaciones, de manera que es fácil detectar aquellas aplicaciones que han mutado a causa del root kit, ya que su firma no coincide.
Por otra parte, los rootkits a nivel de kernel son más peligrosos, ya que trabajan a un nivel mucho más bajo que las aplicaciones, haciendo su detección más compleja. Este tipo de rootkis pueden trabajar directamente con librerías o módulos del sistema, y son generalmente los que permiten poner en marcha las puertas traseras que comentabamos antes.
A pesar de que hoy en día muchas compañias de antivirus incluyen herramientas de detección anti root kits, la detección y eliminación completa de este tipo de malware puede ser muy costosa en tiempo, ya que existen varias técnicas para hacer difcilmente detectables los procesos y servicios que componen el rootkit. A veces es posible que sea más fácil reinstalar los sistemas operativos de los equipos infectados que intentar limpiar todo rastro del root kit, hoy en día, con los sistemas de imágenes de instalaciones de SO, esta tarea es mucho más llevadera.
Uno de los más conocidos root kits es el llamado “hacker defender” creado por “the holy father”. Vamos a ver por encima como podríamos ejecutarlo en una máquina a la que ya hubieramos ganado acceso para ocultar el troyano y a la vez preparar una puerta trasera.
Hacker Defender.
Lo primero es bajarnos google defender, podemos hacerlo desde la página:
http://www.rootkit.com/board_project_fused.php?did=proj5
Una vez descomprimido, vemos que hay varios archivos. Hacker defender permite hacer diversas operaciones relacionadas con la ocultación de información y la apertura de backdoors, y por esa razón sus opciones de configuración son muchas y muy variadas. Aquí tan sólo vamos a comentar su operativa por defecto.
Centremonos en tres archivos:
* hxdef100.ini
* hxdef100.exe
* bdcli100.exe
El fichero hxdef100.ini es el que tiene la configuración que queremos que utilice el hackerdefender. El archivo se compone de varias secciones, las cuales están documentadas en el archivo readmeen.txt. Veamos las más importantes.
[Hidden Table]
hxdef*
rcmd.exe
Los archivos definidos en esta tabla serán ocultos por el rootkit. En este caso, ningún archivo que comience por hxdef, y el ejecutable rcmd.exe (una shell de root que utiliza el hacker).
[Hidden Processes]
hxdef*
rcmd.exe
En este caso, también ocultará los procesos cuyo nombre coincida con las entradas de esta tabla. Observad que está permitido el uso de comodines. Así pues, los procesos del propio hacker defender, así como el proceso de la shell de root serán invisibles a cualquier usuario de la máquina infectada.
[Root Processes]
hxdef*
rcmd.exe
Dado que el root kit ocultará la información a cualquier usuario (incluido el hacker) es necesario definir aquellos procesos que serán una excepción para el hacker defender. En este caso, además de los procesos del propio root kit, la consola rcmd.exe será “inmune” a todas las ocultaciones que vamos a realizar.
[Settings]
Password=hxdef-rulez
BackdoorShell=hxdefß$.exe
En esta parte se definen varios valores que controlan la configuración del hacker defender. Es importante anotar el password y el nombre del proceso que se lanzará.
De momento esto es suficiente para seguir realizando nuestro test, aunque hay muchas más cosas interesantes que definir en el archivo de configuración (como ocultar determinadas claves de registro o servicios)
Describo brevemente los pasos a modo de resumen
Necesitaremos dos máquinas, en este caso funcionamos con dos windows XP.
La máquina A será la máquina del hacker, controlada por él.
La máquina B será la víctima, a la cual el hacker ya ha conseguido acceso.
Necesitaremos que la máquina B sea accesible a través de algún puerto (HFS, puerto 80 puede valer).
Ejecutamos el archivo hxdef100.exe en la victima. Al hacer esto estamos dando por supuesto que usamos el archivo de configuración por defecto.
Una vez hecho esto, se puede observar como automáticamente se ocultan todos los archivos y procesos que están definidos en el archivo .ini, con lo que se consigue el primer objetivo, hacer invisible el rootkit.
Para comprobar el funcionamiento del backdoor, nos iremos a nuestra máquina A, y ejecutaremos el archivo bdcli100.exe, lo cual nos pedirá un host, (IP de la máquina B) un puerto (el 80) y un password (el definido en la parte settings del archivo de configuración).
Si todo ha ido bien, tendremos una bonita shell de root en la máquina A contra la máquina B, que además no se ve afectada por los procesos de ocultación, con lo que podríamos por ejemplo, desinstalar el root kit de manera silenciosa una vez hubieramos avisado al responsable de la máquina A de cómo hemos ganado acceso a su sistema para que pueda ser arreglado o tambíen podriamos desinstalar el troyano menos sutilmente formateando el disco duro...
0 comentarios