DKOM Forensics

Définition

DKOM (Direct Kernel Object Manipulation) est une technique de rootkit avancée qui consiste à manipuler directement les structures de données du noyau Windows en mémoire pour masquer des objets système (processus, pilotes, connexions réseau) sans modifier les appels système. C'est l'une des techniques de furtivité les plus puissantes disponibles pour les malwares opérant en mode noyau. Le mécanisme le plus courant de DKOM pour cacher un processus consiste à modifier la liste doublement chaînée EPROCESS.ActiveProcessLinks. Windows maintient tous les processus actifs dans une liste doublement chaînée accessible via PsActiveProcessHead. En retirant l'entrée EPROCESS d'un processus de cette liste (en liant le nœud précédent au nœud suivant en les faisant se pointer mutuellement), le processus disparait de PsActiveProcessHead et donc des résultats de fonctions comme PsGetNextProcess, rendant le processus invisible pour les appels EnumProcesses, GetProcesses, NtQuerySystemInformation (utilisé par Task Manager, Process Explorer, etc.). Cependant, un processus caché via DKOM reste actif et planifiable par le scheduler Windows. Il peut exécuter du code, accéder au réseau, et lire/écrire des fichiers. Sa présence dans la mémoire physique est détectable par des outils qui scannent la mémoire à la recherche de structures EPROCESS valides indépendamment de la liste active, c'est l'approche utilisée par Volatility (psscan vs pslist : psscan trouve les EPROCESS valides par signature dans la mémoire physique, pslist suit les pointeurs de la liste active). La comparaison entre les résultats de windows.pslist et windows.psscan dans Volatility est la détection de base du DKOM : tout processus présent dans psscan mais absent de pslist est potentiellement caché par DKOM.