Kleines "Proof of Concept"-Rootkit (Usermode) für AMD64

Microwave

Micro-Update:

- Prozesse mit Präfix "R00tk!t" werden versteckt
- Die DLL taucht nicht mehr mit korrektem Namen unter "unloaded modules" im WinDbg auf.
Nun sind meiner Meinung nach keine Rückschlüsse mehr auf den "Urheber" möglich, da sich zu diesem Zeitpunkt im Speicher ja eigentlich ohnehin schon lange nichts mehr befindet, und "unloaded modules" sozusagen der letzte Beweis dafür war, das etwas nicht stimmt.
Diverse String-Suchen mit Process Hacker nach Original- und Fakename lieferten keine brauchbaren Resultate.
Um das Rootkit jetzt noch zu entdecken, kann man Process Monitor verwenden, dessen LoadImage-Notify-Routinen ziemlich schnell zeigen, wie das Rootkit tatsächlich heisst.

Damit der Fake funktioniert, muss die DLL exakt "~FontCache.dat" heissen - AppInit_Dlls ignoriert die Endung und lädt die DLL trotzdem.
Da hier mit einigen undokumentierten Strukturen und ohne Checks gearbeitet wird, sollte das Rootkit nur auf Windows 8.1 ausprobiert werden.

Nun werde ich damit beginnen, 32-Bit-"Support" zu implementieren.


Grüsse - Microwave

P.S. hatte ein Beitrags-EDIT versucht, aber das gab es nicht (oder ich war zu dämlich, es zu finden)