1. 使用了命名空间技术的 HorsePILL

在讲述该 Rootkit 之前，有必要简单介绍一下命名空间的含义。命名空间是Linux的一个非常重要的系统特性，Linux 的命名空间机制提供了一种资源隔离的解决方案。PID,IPC,Network 等系统资源不再是全局性的，而是属于特定的Namespace，不同命名空间的资源是互相隔离的，在一个命名空间所做的事情不会影响另一个命名空间。各命名空间在 Linux 的引入版本如下:

由于命名空间的隔离特性，这给恶意文件的隐藏提供了新的思路。将恶意文件和恶意文件运行过程中的进程、网络置于一个与系统不同命名空间的环境中，可以非常有效的隐藏自身，在一定程度上来说，难以发现。

HorsePILL 这个 Rootkit 就利用了这种命名空间的特性，该 Rootkit 会感染系统的initramfs，被感染的系统在启动过程中加载 initramfs 就会执行 Rootkit 的恶意代码。恶意代码执行之后，会将整个系统置于一个新创建的子命名空间之中，而恶意代码本身运行于更上级的命名空间。这种 Rootkit 隐藏方式可谓是别具一格，对系统的性能影响可以说忽略不计，是一个非常棒的 Rootkit，美中不足的是该 Rootkit 需要重启系统才能够执行其恶意代码。

这种 Rootkit 也是非常有效的运行时检测方案，首先，该 Rootkit 需要感染initramfs，基于这一点可以修改 grub，给 grub 新增一个启动过程中校验 initramfs 和vmlinuz 文件完整性的功能，避免启动不受信任的系统。当系统不幸感染了这种

基于命名空间的 Rootkit，整个系统用户空间的数据已经不在可信的情况下，可以

并且从中发现异常的命名空间数据。

感染 horsepill，攻击者拿到了设备的 shell，攻击者视角下真实的1号进程的命名空间数据如下:

感染 horsepill之后设备管理员视角下，可以非常直观的看到命名空间信息已经出现了异常，而这种异常信息通常是被人忽略的。

对于这种 Rootkit，受害主机运行时可以通过命名空间测绘的方式发现 Rootkit 的存在。

这类Rootkit的检测方法也是同样不同于前面的方案的。最简单的判断方法就是查看 /sys/kernel/debug/kprobes/list 这个文件的内容。

内核中有这么一个数据结构 kprobe_table，该数据结构维护了所有注册的 kprobe 的表，遍历这张表，可以发现感染这类 Rootkit 的 kprobe 数据结构。

Vmlinuz：

>>> disasm('xe8x8bxd2x5bx00')
'   0:   e8 8b d2 5b 00          call   0x5bd290'

Before kprobe:

>>> disasm('x0fx1fx44x00x00')
'   0:   0f 1f 44 00 00          nop    DWORD PTR [eax+eax*1+0x0]'

After kprobe:

>>> disasm('xe8xfbxd2x5bx00')
'   0:   e8 fb d2 5b 00          call   0x5bd300'

反汇编这部分数据，可以看到其具体的操作码也有较强差异。首先，符号 SyS_ptrace 的内存地址为 0xffffffff8108a1b0，挂载 kprobe 之后，其执行的第一个指令为 call   0x5bd300。因此可以计算，其跳转地址为: '0xffffffff816474b0' 。查询该地址对应的符号如下:

根据上述分析内容，kprobe Rootkit 会在执行过程中修改内核符号的函数序言，因此要检测这种类型的 Rootkit，还可以对运行时的内核代码进行完整性检测。

基于 bpf 的 Rootkit 并不是什么新鲜事物，bpf 技术于1993年就被提出，bpf 的指令集并非是一种图灵完全的指令集，因此使用 bpf 指令开发 Rootkit 似乎是一种天方夜谭。但是 APT 组织 Equation Group 做到了，在 shadow brokers 于2016年公开方程式的工具包中，有这么一个不太引人瞩目的 Rootkit DewDrops。这么长时间以来，大多数人眼里看到的可能只有永恒系列漏洞利用和 doublepulsar 后门，而对于其中的Dewdrops Rootkit，却是很少有人关注。尽管他的知名度并不高，但并不影响我对这个 Rootkit 设计者的佩服。

eBPF 还支持 kprobe/kretprobe、uprobe/uretprobe、XDP、TC、socket、cgroup等程序类型，覆盖文件、网络、socket、syscall 等事件，都是可以被黑客利用的地方。