0% Privacy

1.96K views16:52

|casper-fs|

🔏После постов по форензике пришло время рассказать и про контрмеры.
Начнём с рассмотрения каспера, который генерирует скрытые LKM(если их так можно назвать) и выполняет две базовые функции: скрытие и защита файлов.
В случае защиты файлов даже рут не сможет читать, записывать в файл или удалять его, а чтобы атакующий смог перехватить из списка защищенных файлов или редактировать или удалить файл, ему придётся заставить жертву отправить ключ на пользовательское устройство.

Так что даже в случае потери доступа к носителю или полученному руту на конечной машине, то форензик-специалисту придётся сперва догадаться о наличии скрытых LKM(которые даже рут не может увидеть, но тут тоже не нужно сильно надеяться), а затем догадаться как работает и как получить доступ к файлам и откуда вытащить ключи для раскрытия и снятия защиты.

🔓Если те же самые СКРЫТЫЕ криптоконтейнеры всё-равно детектируются и про них написано не мало материалов, то с каспером потяжелее и он работает как некоторые руткиты для линукса(пример1, пример2), скрывающие LKM из пользовательского пространства.
А по своему опыту хочу сказать, что чтение скрытых LKM и их восстановление - процесс довольно не простой и монотонный, ведь нам сперва нужно сперва восстановить субдирректории и файлы, а затем атрибуты сопутствующие.

Также заметил ещё сходство с руткитами, что стоит защита от procfs и sysfs(от сравнения procfs_modules и sysfs_modules) и копание в mod_sysfs_setup особо не поможет.
Так что на данный момент - это довольно не плохой способ защиты и сокрытия файлов, можно ещё предварительно сделать защищенный криптоконтейнер, а затем его скрыть или защитить.

Про то как пользоваться - не буду дублировать, просто вставлю скриншоты, либо можете почитать в репозитории или в блоге.

🔏After the posts on forensics, it's time to tell about countermeasures.
Let's start by considering casper, which generates hidden LKM (if you can call them that) and performs two basic functions: hiding and protecting files.
In the case of file protection, even root will not be able to read, write to the file or delete it, and in order for the attacker to intercept from the list of protected files or edit or delete the file, he will have to force the victim to send the key to the user device.

So even in case of loss of access to the media or the received root on the final machine, the forensic specialist will first have to guess about the presence of hidden LKM (which even root cannot see, but there is also no need to hope much), and then guess how it works and how to access files and where to get the keys for disclosure and removal of protection.

🔓If the same HIDDEN cryptocontainers are still detected and not a few materials have been written about them, then it is heavier with Casper and it works like some rootkits for linux (example1, example2) hiding LKM from user space.
And from my experience, I want to say that reading hidden LKM and restoring them is not a simple and monotonous process, because we first need to first restore subdirritories and files, and then the accompanying attributes.

I also noticed another similarity with rootkits, that there is protection from procfs and sysfs (from comparing procfs_modules and sysfs_modules) and digging into mod_sysfs_setup will not help much.
So at the moment, this is not a bad way to protect and hide files, you can also pre-make a secure cryptographic container, and then hide or protect it.

About how to use - I will not duplicate, I will just insert screenshots, or you can read in the repository or in the blog.

#antiForensics #LKM

👍9🔥2👏1

2.78K viewsedited 16:53