FRAMEWORK ABIERTO DE DESARROLLO Y GESTIÓN DE LKMS EN LINUX PARA LA EMULACIÓN CONTROLADA DE TÉCNICAS DE ROOTKIT

Abstract

El kernel de Linux está integrado por módulos que componen su funcionalidad. Entre los métodos de blue teaming para la detección de malware a nivel de este kernel, destacan la detección de anomalías en módulos y la manipulación de estructuras del kernel. No obstante, actualmente se carece de una solución opensource para desarrollar Loadable Kernel Modules y a su vez gestionar la ejecución de su funcionalidad. Este proyecto presenta una herramienta que estandariza el desarrollo de estos módulos mediante su propio framework y facilita su ejecución controlada, permitiendo a los usuarios orquestar en el espacio de kernel de Linux actividad y comportamientos personalizados, actuando así como un primer esfuerzo de código abierto para facilitar la investigación de malware en entornos privilegiados desde el punto de vista de módulos estandarizados, fácilmente gestionables, y compartibles entre la comunidad de desarrollo.