Een beveiligingsonderzoeker demonstreert morgen een nieuwe, stiekeme manier om Linux te hacken. De aanval van Anthony Lineberry maakt gebruik van een vaak vergeten functie in Linux 2.4 en nieuwer en maakt het mogelijk om stilletjes een rootkit aan de kernel van het besturingssysteem toe te voegen. Tijdens de Black Hat Europe conferentie in Amsterdam deze week, laat Lineberry zien hoe hij via de driver interface toegang tot het fysiek adresseerbare geheugen krijgt.

"Een voordeel van deze aanpak is dat de meeste kernel module rootkits veel lawaai bij het injecteren van code maken. Deze aanval manipuleert direct het geheugen, en valt daarom minder op." De proof-of-concept van de onderzoeker kan zowel naar het kernelgeheugen schrijven als lezen, alsmede code in de kernel bewaren.

Het idee om via /dev/mem de Linux kernel te hacken is niet nieuw, maar de rootkit toepassing is volgens Lineberry nog niet eerder vertoond. "Mensen weten wat je met deze /dev/mem apparaten kan doen, maar ik heb nog nooit een /dev/mem rootkit gezien." Heeft een aanvaller eenmaal via deze manier toegang verkregen, dan kan hij van alles doen. Het probleem wordt vergroot doordat Linux-systeembeheerders zich vaak niet bewust van de gevaren zijn als ze /dev/me blootstellen. Door zijn onderzoek hoopt Lineberry het bewustzijn te vergroten. Zo is er onlangs een patch verschenen om toegang tot /dev/mem van buitenaf te beperken. "Het probleem met kernel rootkits, is dat de rootkit detectie kan voorkomen, omdat die volledig in controle is."