Detectando Atividade de Rootkit

Quando Usar

• O sistema mostra sinais de comprometimento, mas ferramentas padrão (Gerenciador de Tarefas, netstat) não mostram nada anormal
• Antivírus/EDR detecta assinaturas de rootkit, mas não consegue identificar o mecanismo de ocultação específico
• Forense de memória revela discrepâncias entre estruturas de dados do kernel e a saída de ferramentas em modo de usuário
• Investigando uma ameaça persistente que sobrevive a tentativas de remediação e reinicializações do sistema
• Validando a integridade do sistema após um suposto comprometimento em nível de kernel

Não use como método de detecção de primeira linha; comece com triagem padrão de malware e escale para análise de rootkit quando comportamento de ocultação for suspeito.

Pré-requisitos

• Volatility 3 para forense de memória e análise de estruturas do kernel
• GMER ou Rootkit Revealer (Windows) para varredura do sistema em tempo real
• rkhunter e chkrootkit (Linux) para verificações de integridade de sistema de arquivos e processos
• Ferramentas Sysinternals (Process Explorer, Autoruns, RootkitRevealer) para análise no Windows
• Dump de memória do sistema suspeito (WinPmem, LiME)
• Baseline limpo do sistema operacional para comparação (hashes de módulos de kernel conhecidos e bons)

Fluxo de Trabalho

Passo 1: Detecção Cruzada para Processos Ocultos

Compare listas de processos de diferentes fontes de dados para encontrar discrepâncias:

# Volatility: Compare process enumeration methods
# pslist - walks ActiveProcessLinks (EPROCESS linked list - what rootkits manipulate)
vol3 -f memory.dmp windows.pslist > pslist_output.txt

# psscan - scans physical memory for EPROCESS pool tags (rootkit-resistant)
vol3 -f memory.dmp windows.psscan > psscan_output.txt

# Compare outputs to find hidden processes
python3 << 'PYEOF'
pslist_pids = set()
psscan_pids = set()

with open("pslist_output.txt") as f:
    for line in f:
        parts = line.split()
        if len(parts) > 1 and parts[1].isdigit():
            pslist_pids.add(int(parts[1]))

with open("psscan_output.txt") as f:
    for line in f:
        parts = line.split()
        if len(parts) > 1 and parts[1].isdigit():
            psscan_pids.add(int(parts[1]))

hidden = psscan_pids - pslist_pids
if hidden:
    print(f"[!] HIDDEN PROCESSES DETECTED (in psscan but not pslist):")
    for pid in hidden:
        print(f"    PID: {pid}")
else:
    print("[*] No hidden processes detected via cross-view analysis")
PYEOF

Passo 2: Detectar Interceptação de Chamadas de Sistema

Identifique hooks na System Service Descriptor Table (SSDT) e nas Import Address Tables:

# Check SSDT for hooked system calls
vol3 -f memory.dmp windows.ssdt

# Identify hooks pointing outside ntoskrnl.exe or win32k.sys
vol3 -f memory.dmp windows.ssdt | grep -v "ntoskrnl\|win32k"

# Check for Inline hooks (detour patching)
vol3 -f memory.dmp windows.apihooks --pid 4  # System process

# IDT (Interrupt Descriptor Table) analysis
vol3 -f memory.dmp windows.idt

# Check for IRP (I/O Request Packet) hooking on drivers
vol3 -f memory.dmp windows.driverscan
vol3 -f memory.dmp windows.driverirp

Types of Rootkit Hooks:
━━━━━━━━━━━━━━━━━━━━━
SSDT Hook:         Modifies System Service Descriptor Table entries to redirect
                   system calls through rootkit code (filters process/file listings)

IAT Hook:          Patches Import Address Table of a process to intercept API calls
                   before they reach the kernel

Inline Hook:       Overwrites the first bytes of a function with a JMP to rootkit code
                   (detour/trampoline technique)

IRP Hook:          Intercepts I/O Request Packets to filter disk/network operations
                   at the driver level

DKOM:              Direct Kernel Object Manipulation - unlinking structures like
                   EPROCESS from the ActiveProcessLinks list without hooking

Passo 3: Analisar Módulos e Drivers do Kernel

Identifique drivers de kernel não autorizados que podem ser componentes de rootkit:

# List all loaded kernel modules
vol3 -f memory.dmp windows.modules

# Scan for drivers in memory (including hidden/unlinked)
vol3 -f memory.dmp windows.driverscan

# Compare module lists to find hidden drivers
vol3 -f memory.dmp windows.modscan > modscan.txt
vol3 -f memory.dmp windows.modules > modules.txt

# Check driver signatures and verify against known-good baselines
vol3 -f memory.dmp windows.verinfo

# Dump suspicious driver for static analysis
vol3 -f memory.dmp windows.moddump --base 0xFFFFF80012340000 --dump

Passo 4: Detectar Ocultação de Arquivos e Registro

Identifique arquivos e chaves de registro ocultos pelo rootkit:

…