Linux Rootkit Detection

Définition

Un rootkit Linux est un ensemble de techniques et d'outils malveillants conçus pour s'installer sur un système compromis et masquer la présence de l'attaquant en manipulant le système d'exploitation. La détection forensique des rootkits Linux est une discipline spécialisée qui requiert une compréhension profonde du noyau Linux et des techniques de dissimulation. Les rootkits Linux se classifient en plusieurs catégories selon leur niveau d'intrusion. Les rootkits userland modifient les binaires du système ou utilisent LD_PRELOAD pour intercepter les appels aux bibliothèques partagées. Ils remplacent des outils comme ls, ps, netstat, find par des versions trojanisées qui filtrent les informations sur les processus, fichiers et connexions malveillants. Les rootkits noyau (LKM - Loadable Kernel Modules) opèrent au niveau du noyau, modifiant les tables d'appels système (syscall table) pour intercepter des appels comme getdents (listing de répertoires) et stat (informations de fichier), permettant une dissimulation totale invisible depuis le userland. Les rootkits DKOM (Direct Kernel Object Manipulation) manipulent directement les structures du noyau en mémoire sans modifier les appels système. Les indicateurs de rootkit Linux incluent : des incohérences entre les résultats de différents outils (ps affiche différents processus que /proc), des modules noyau inconnus dans lsmod, des modifications récentes de binaires système (/bin, /sbin, /usr/bin) selon leurs timestamps, des bibliothèques partagées inconnues dans /etc/ld.so.preload, des connexions réseau visibles dans /proc/net/tcp mais absentes de ss ou netstat, et des discordances dans les statistiques d'utilisation des ressources. rkhunter (Rootkit Hunter) et chkrootkit sont les deux outils open source de référence pour la détection de rootkits. rkhunter vérifie les hashes des binaires système contre une baseline connue, recherche des fichiers cachés, examine les configurations et cherche des patterns connus de rootkits. chkrootkit utilise des heuristiques différentes. Les deux doivent être utilisés conjointement car chacun peut manquer des menaces détectées par l'autre.