Rootkit : hành trình tìm kiếm em yêu trong hệ thống cho dummies :D (Phần 1)

Sau 3 tuần bán máu cho dự án, mình cảm thấy bản thân khá là điên điên, không hiểu nổi mình còn có phải là người không nữa.

Foreword: Bạn nào thấy mình novice thì chỉ giúp nhé.

Đứa em gửi qua Yahoo cho một cái quote khá hay "Bkav Token Manager", với các triệu chứng như:
1. Diệt mãi không khỏi
2. Tạo ổ ẩn, trên Windows không thấy được, lắp sang máy sài linux thì mới thấy.

=> thấy khá là có mùi rootkit
Cũng muốn thứ đú tìm em nó trong hệ thống xem thế nào.

Bước 1. Thử ngó qua xem bạn ấy thế nào ?

1. Một số công cụ cần thiết
- Phần mềm ảo hóa : để chạy virus và dễ dàng hơn trong việc debug, mình hay dùng vmware hoặc virtual box, còn kvm, qemu thì lâu lắm không dùng. CHÚ Ý RẰNG: ảo hóa không phải là giải pháp hoàn hảo, chỉ là đỡ phế máy thật thôi, ngày càng phổ biến malware sẽ dò trước là chạy trên máy thật hay ảo để tránh bị phân tích.

- Ngôn ngữ script : một cái gì đó giúp bạn có thể chạy được những task lặp đi, lặp lại. Có thể dùng python, perl, ruby .... Mình thì dùng python vì dễ xài (nói do mình ngu mấy ae bên group python lại lồng lộn theo :D)

- IDA pro: Nghe nói vừa leaked bản $7k đấy, để còn re chứ.

- WinDbg: Dành cho kernel debug. Tải về từ m$, sau đó bạn tải cả bộ symbol của nó về nữa cho nó màu, mấy thánh hardcore thì không cần.

??? - còn thiều cái gì không nhỉ ?

2, Cài đặt.

Hình cài đặt

- Rất nhiều người dùng của *nix phê bình cái chức năng "prompt for admin" (mình chả biết gọi là gì) này của Windows. Rất bình thường, nếu bạn cài một chương trình vào %programfiles% của hệ thống trên Windows 7, bạn sẽ phải prompt cho quyền admin, mà với quyền admin, malware muôn setup gì chả được. 

3. Kiểm tra drivers được cài đặt

- Okay, đã là Rootkit thì nên có Kernel drivers

- Trước khi cài đặt phần mềm của Bkav, mình sẽ tạo list của những drivers có sẵn (để sau đó so sánh với sau khi đã cài đặt).

Câu lệnh cũng đơn giản thôi (prompt chạy với admin nhé): 

dir /b /a-d C:\windows\system32\drivers  >before_install.txt

- Mình tạo một snapshot trong vmware (before_install)

- Sau khi cài đặt xong, mình tạo một list drivers sau khi cài đặt:  

dir /b /a-d C:\windows\system32\drivers  >after_install.txt

- Tạo một script python nho nhỏ, để check xem có drivers nào được tạo mới.

- Hí ha, hí hửng, chạy script, và bùm chả có gì cả:

- Chả lẽ do phán đoán sai ? hay là rootkit là một nơi khác đến. Do mình cũng chả có điều kiện tiếp xúc máy tính đứa em kia, nên có lẽ đành tiếp tục mò con này vậy.

- Đành đi ngủ cho nó giống người bình thường, đêm nay sẽ kéo IDA và WinDbg về rồi ngày mai ngâm muối tiếp.

To be continued ... (bài tiếp sẽ chỉ là vài cái cơ bản về nghiên cứu một số system changed bởi phần mêm Bkav CA này thôi, chưa đụng đến IDA và WinDbg :D )