Bezpieczne ukrywanie procesów: jak działa PSF?

Bezpieczne ukrywanie procesów: jak działa PSF?

2015-03-05 11:00 Redakcja

PSF to nowoczesny rootkit, który stosuje sprytne techniki, aby ukrywać swoje działania w systemie. Jego działanie polega na uruchamianiu binarki init, która jest maskowana pod nazwą /usr/sbin/httpd. Dzięki dodawaniu spacji 0x20, proces staje się trudniejszy do zidentyfikowania.

W przypadku pojawienia się programu top, autor PSF zastosował inną metodę ukrycia. Tworzy on link symboliczny w katalogu plików tymczasowych, co pozwala na zafałszowanie wyświetlanej nazwy pliku. Przykład takiego linku to /tmp/.psf_1, który wskazuje na oryginalną binarkę.

Jednakże, warto zauważyć, że ten trik nie zadziała na systemach BSD, ponieważ ich jądro ujawnia prawdziwą nazwę pliku, co czyni PSF mniej skutecznym w tych systemach. W przypadku wykrywania obecności PSF, istotne jest zwrócenie uwagi na nietypowe procesy w systemie.

Najnowsze wiadomosci ⚡📰

Nie przegap żadnego trendu, hacka ani dramy w świecie marketingu! 🧠
Mamy już ponad 155 000 artykułów i codziennie dorzucamy 50–100 nowych perełek z SEO, PR, social mediów, reklam, AI i brandingu. Do tego wywiady, nowe narzędzia pozwalające dowieźć wyniki i nutka prawa oraz bezpieczeństwa. Wszystko podane w starupowym sosie, który nigdy sie nie nudzi.
Zapisz się teraz, a Twoja skrzynka stanie się potężniejsza niż raporty z Analyticsa.