Diamorphine - известный руткит для ядра Linux, поддерживающий различные версии ядра и архитектуры процессоров. Этот руткит позволяет скрывать файлы и папки, а также повышать привилегии доступа до уровня root. В начале марта 2024 года был обнаружен новый вариант Diamorphine, подделывающий легитимный модуль ядра x_tables Netfilter. Образец был скомпилирован для конкретной версии ядра.
Diamorphine Rootkit
Анализ образца показал, что он содержит функции руткита Diamorphine, а также дополнительные функции, указывающие на наличие большей полезной нагрузки. Статья в блоге посвящена новым функциям, реализованным в данном варианте Diamorphine, таким как остановка руткита через отправку сообщений на открытое устройство и выполнение произвольных команд операционной системы с помощью магических пакетов.
Чтобы внедрить этот вариант Diamorphine, необходима операционная система Linux с определенной версией ядра. Ubuntu 22.04 является подходящим кандидатом. Руткит ядра может быть вставлен в дистрибутив Ubuntu Jammy, имеющий подходящую версию символов. Для обмена данными между пользовательским и режимом ядра, руткит создает устройство с именем xx_tables, притворяясь модулем x_tables Netfilter. Функция "g" отвечает за обработку операции записи данных через это устройство.
Руткит проверяет безопасность данных, получаемых из пользовательского режима, и может выполнять различные действия в зависимости от команд. В функции exit_ предусмотрена корректная остановка руткита и восстановление системы.
Также в новом варианте Diamorphine реализованы "волшебные пакеты", поддерживающие протоколы IPv4 и IPv6. Функции a, b, c, d, e и f используются для обработки этих пакетов. Если пакет соответствует требованиям, из него извлекается произвольная команда.
Indicators of Compromise
MD5
- 0476e96efdc299632dc08789d6699507
- 0c4cda0fad9cb04e1f94bbec4e1272c7
- 1133f723bfb1c01363acf4f693734c47
- 132b1646c032f1e37c9cf24e2c947e17
- 1ae01d8bbbb37660e986a6c17347cd50
- 1c58f57abb1dec194bfc7355d8a01f3e
- 207e9b9201875878395ca8eb7482d12c
- 243dc28226ebbd1680fad8e5b467261d
- 2862aa2af87a22d332a9ea7a72fb5cbd
- 34307ee01c0ae751ebc31b2c637db4a2
- 34f41077b4607c63380fa8751051b337
- 3aed40d1f872d12e9b6023b837ae88ea
- 4127807399870be9ba6c2671235b5edd
- 4484eee2f878a35560edc178116fb15d
- 458cc7b075b7885e161a403f4fe4b010
- 49d437b607454a7743ab9bce921cc58d
- 4b3036a65002c4723aac2c3ff4aea92f
- 56f8913c6160b0f3611309e55d525e8e
- 5da08868b8a0c51e0c76812d810953e9
- 6aab00d289f702972b831979755d4384
- 6e66af30a0ecfc573276756850107292
- 7127ef1018a37f67fe7555c884c8187c
- 71d0bca882cec1e1871d2d5b8ba30685
- 71f3aa1b610676de05faffbbc95d2b02
- 7264473352f66566d357cc21a368ca8b
- 7c9290a9c54b76af7b83ae8bc51a696c
- 846b0f4c7c6b94172e1925741dbb1469
- 915c9c88ce5c9781f08f598977d0b1a7
- 9a93a4fa63227b5d34207ed14c39d9e3
- 9ebc7b73fadf025bf2fdfb5de8ae9c3e
- a99b01db3702548a28b816f58263a744
- a9a9e1853558b19105450ea74c66f72f
- ab3733ae29c1557fd9da12192b397600
- b7dc8815d11bff392fcb5e38b4462266
- bd2c88d5f1e85bd0b581cd0bb91e593d
- bf1c641c599205e8032ac2dfe80e9c76
- c2bbfe26f58a6c2b3710689be7fd05f4
- c98d199309db6edd539d18f6e250e1f0
- cc9885eed900be5e00e2d63efc136539
- d199161aeb6f9b5620e250b07348d1f9
- d2576b44639ca68a36a84e750f28e028
- db507345e95da57124806a07b8106b70
- e17ffc4053253b7a51231ae86ab614a1
- e50e117747e256d4038a5de1b7ec2798
- e69b011629880a0b2db237dedca03347
- f7b1a94f887780a0da8f35b3c277a00e
- fee419256b96c94fd15aff3319a280d3
SHA1
- 034d9118ab00f91d65fb3730c6941f93b9c26826
- 03b9a413864c28ab7148084e012070674b4b08fb
- 063a6e954729bc3964494ebc2fc67be4c830465e
- 0986f75d9ce9e0f869ef871feff9e54f2bb3aa85
- 12e0ca79c5abc9aa96a0dbe576c1b00bfe6bf075
- 155beaadb8acb6fe8784da122c1bd632cabd88fc
- 1adb447fb1aa252d7cf227a225bd71fe30455e74
- 1bca6ba66caa3cdfe539751ad1b27da25cab72b4
- 3e45f25afe9a641c56d6b20a2ff1e73ef5ca43f0
- 3fb7dd95c6296fc59b2b4601c7573585e84b24e2
- 4b23b9c5df1f153d92057d74a1cf15fa805869e0
- 51e9ad7d2e6b21fe19f7df03e088a11208b6b3cc
- 5d6d78558c5e2c3023abc5d58adbfc35ae0725ab
- 5f0a474da06a375fece9195efbec512381d90c1e
- 6824344d894c2e20b2cea87549f421f9586a3770
- 6f1360890a6a739363bd5b97f564ae70d181769f
- 70e6d5f1176bcbd0fade978f41719c92c9e769e2
- 794a471dd79b1e19d9b630508d7ecb8ada5e0f0e
- 7d352ced674c339c1cbc393835fb4bf646806b45
- 81e64017ae552738fc011c70deef22aa5b90553b
- 83eecb86630c7c0b619f64fc6593a0ed8167683f
- 884ba90b227cf56dbf6c8992f2ae1256a8b509a4
- 8ae7a4c3dc2b99a8caaab573fe11843c91780949
- 8d2217c016d0a035f282b44a64b74e1becede07e
- 8ec92fff0ce5420ccfc45c849a9267dfe1c7e8b4
- 93db3f79926419410f8d01cceb88e7f375729a3e
- a0cf2ccb7cf6834183566917c586ed319387a7fd
- a86625dd72bae12eda0bb7bd4d6b60a25ce7a077
- b021a1b0e8d8649eb17a2ef95b668a0836de3ec1
- b31f061caed25f27c16d402da8ec628961940278
- bcbd2ef38fcfd8c1039a78bdf419d9a1d38146e4
- be875b113b65eba24f6f9d2f67f54364f61bf752
- bea85557d6124d47bd8eff006a2b372264dd537c
- bf41623199eb819adc6b1851169f64b92f81a559
- bf8d2df41af65fce513c4ac5145a875ffdccccfd
- c3e37b055e90a52cfda7f8c3b7b5cd469d65fb76
- c77ee759cd6329a3057ff72a685e434a6929f988
- da7491aa92024050a1902a236935ac58e9bb52a5
- df453d9859120e001eea33d408b3d183e26cb824
- e11b7a40eb65b9b81e208dc9c9f2b66afb2648b9
- e1ec5bf59f496933efe3a5abd7627e9f00a5beeb
- e2ebf0b0f6a2f403c7dc8ceb351db9a9e6f71974
- e4d951f4d4159e41dae296acf42df4d365c9db0d
- e50f3e17fed010d09b6e9b3b1f283f029e0860f2
- e6e7b2b91460aa50434ceb28797dc537b767bd2a
- f1eaadadd67210a75d6448124fb2e9ceb6283f22
- f76dbed9159cb82341dd37e283de045623eae540
SHA256
- 00c17f9a99667dee908071f1db43ffdf675ea5158537dd2cd499ffd0885e621a
- 04d54cb31129a459033adcbe68aa5eaec6130be1c8d2db3773177440f4644449
- 067194bb1a70e9a3d18a6e4252e9a9c881ace13a6a3b741e9f0ec299451c2090
- 073e0ff3fb262d593ef267aef53fe54558301a95b184f39602941535840f4383
- 0d0de2151d7fcd14b1bdb64dab802e2290a5a130ba7ed7db6a6e4d5b5b095463
- 12360ddc28cfa104377d7c7a92a190933c424c3dd407b65f7b69b1b5c67dca1b
- 12d6326bd7e7bc8e81e0e161b5537096847253076334bca8c16a3c3f4c2c0e5b
- 1936270dc97c4e2e7bbdfd0c337ed1acdf72df6dc9598b396f6fdf4c0ad8f904
- 1a9382e491598fea6f418427f36a0e127135ed4886adc846b3339e0505284971
- 1d4d3d8e089dcca348bb4a5115ee2991575c70584dce674da13b738dd0d6ff98
- 1fdda23de5a1dbfb70698f2b548c80c1d2967cb0f8d9bba41d64131aaa7532a3
- 29913a342bca81ec1084c9abc1c6be8d431d0da40fadba465a3ca3481193904b
- 351d0bdab940e0195dd3c5e5da61ea4d46a0cce34a8ea9f78e27b1d233a2486f
- 370fff5098eda6b9ec9ae942c1ce32098e07d7e91d4a5c6e978d8bb22747e6df
- 400f3a425ed047442d87ab96e7469f63c6dbc78424771eb2e4b9c305ea44d0b6
- 4114d57edae1d877d62d8b5642bd93cfb457b12cf657d53a185e37d09ae51891
- 4d258c019e80afb4f98c331db100fd06fb883a09fc743c17d34a181af977c2cc
- 5bc5883c31f7e1432663d2f277d6cb2c849cfc1e095bca27bd5d17ff11229fed
- 62ce718a453150b388dd9fb761b8c344a6b071ead691aa85cd6ef82b723c87b1
- 6436303b20b2836d08595a90cfd82806c6dce16f33964aa4749a86b343d0abbb
- 69e144206b607522da3b571823f93125d121065ba55c0ead651696a48e92bdcf
- 6d388ee0ee34d5ec409c55cee65b8d65aacbfb7f3bf207db47e3fef0d7860877
- 7506367dc20bedbb7f7518654e0700a92c46ee9bb9a53e00676791fc8e692453
- 76c01ef5aaef29e2894beddd8f23726b75f6a8d335499333b60a0e3815de5b2e
- 86fd81bc2c9ddbe98a490f3aa4ae4c8d7e8e0c0284d4a6a257ccf1ce07620d27
- 8b7eaea5fc2f184ad9ef6abf069bdb78d42662c891b09c3c6a9d4899526b17c8
- 8bf0ddff6d2921257fbd3a3791c72fc1ebc7347a84ab4bf0298085d91e5ef0d5
- 91d9421125adceb27e5e40f27a8da6cb5de8971b2e8d081a18020a6c0b44e453
- 92903e07b834a2be2b78e95d7161a09b71c0b8f7f8ffae760a4173bf2289de94
- 954a5905607d1bd1160b6471a36679af9aa57a5fbf777751f68492ecc54d45e1
- 9ba2a5fcc9ab9b229c7d7a139dd1768858738ed3f4ff0e07e23bc59a90418ea1
- a136834b0c72b3eb3c4371c522ac2927a84edebed847581df0a1a02525d4787e
- a158fc3982b8ccbec4655b9a3017eba167e0f0bb61f78f870898a51f7f6076bb
- a931bc92999eeefdcb79bf6dc294608cb825b2d8f2627b1b3ab0b71e74d8d835
- ad32f4fb7b8e475db9ff62cc9e02773b9209297fd08e00a5edfed65f55f14986
- afe0498385984eca996d17b37851fdf9213910426f4841da29c6d9c33e98e013
- b0c4456420e0d650912a99acc9fe4d4eeee9f75921facafc718c2c82ea0365b5
- b627725d7f4ee5b969c200c65d61123027df30a8f2b5930c7df5bfbe8a613f6b
- be8e8ef049dedc7c56e7d61f4f50a0ed324a42e1b1febe66aea77156bc6f02a0
- c2b0588ff7a6d5790cbd5587fc307e6b36a618ccc90c47264b4e1bcc0a549931
- d00771a4fd8f314417441d76812466c0a84ab053a8e5960037526d0ff4cba37d
- d45ab8d1b0d15e923b26634d6d79bb89e132cc36e56ec902db2f0147ed31efa4
- d947b70347ce1f0088b107a3344c033cdd666782e7b382cd4bccb64724a28575
- dc04f28eb0e7485998f951784a3d5fdcdc97ec882560d92335370f1e13391ff2
- ddfdb25d6a30a6d63c705e25e818553fb21ee89f3b988aae7b65c10eec805a1b
- e029e90d6767f2b84e9e2d618db105573404d4f09eece52734b9faae5fc25c2c
- f79eb2930012ac45e4c4434f8559e0bc40fa269b51fcc297ca4b78c2b61bfcb7