Volatility unlinked processes rootkits

Définition

La détection des processus non liés (unlinked processes) est une technique forensique mémoire avancée permettant de découvrir des processus cachés par des rootkits utilisant la manipulation directe d'objets noyau (DKOM). Cette technique est implémentée dans Volatility via les plugins psscan (scan de pool mémoire) et psxview (comparaison multi-sources). Comme expliqué précédemment, pslist parcourt la liste chaînée PsActiveProcessHead pour énumérer les processus. Un rootkit DKOM retire le processus malveillant de cette liste en modifiant les pointeurs Flink et Blink des structures EPROCESS adjacentes, rendant le processus invisible à pslist. La structure EPROCESS malveillante reste cependant intacte en mémoire et le processus continue à fonctionner normalement. psscan (windows.psscan dans Volatility 3) contourne cette technique en scannant directement les pools mémoire à la recherche de pool tags 'Proc' qui précèdent toutes les structures EPROCESS, indépendamment de leur présence dans les listes chaînées. Tout processus dont la structure EPROCESS est encore en mémoire physique est découvert par psscan, qu'il soit listé ou non dans PsActiveProcessHead. Les processus présents dans psscan mais absents de pslist sont presque certainement cachés par un rootkit DKOM. psxview (disponible dans Volatility 2, et reconstruit manuellement dans V3 en combinant plusieurs sources) compare les processus visibles depuis sept sources différentes : pslist, psscan, thrdscan (via threads), PspCidTable (table globale des PIDs valides), csrss handles, session processes, et deskthrd. Un processus légitime doit être visible dans toutes ces sources. Un processus visible dans certaines sources mais absent d'autres révèle une tentative d'occultation partielle, caractéristique d'un rootkit. Les rootkits mémoire modernes peuvent également manipuler d'autres structures : PspCidTable (pour masquer les PIDs), le Module List du noyau (pour cacher les pilotes), et les listes de threads (pour cacher les threads d'exécution). Des plugins Volatility spécialisés existent pour chaque type de manipulation.