Kernel rootkit teknikleri, kotu amacli kodun isletim sistemi cekirdegi (kernel) ayricalik duzeyinde calisarak hem kendi varligini hem de yonettigi diger bilesenleri sistemden ve guvenlik araclarindan gizlemesini saglayan yontemlerdir. Cekirdek, uygulamalarin altinda ve donanima en yakin katman oldugundan, buraya yerlesen bir rootkit’in gorus alani kullanici modundaki hicbir aracin ulasamayacagi kadar genistir.

Kernel rootkit, cekirdek ayricaligiyla calisarak sistemin kendisine gosterdigi gerceklikleri degistirebilen ve boylece varligini isletim sisteminden gizleyen kod parcasidir.

Cekirdek Duzeyi Neden Farkli?

Kullanici modundaki bir kotu amacli yazilim, sistem cagrilariyla cekirdege soru sordugunda dogru cevaplari alir; oysa cekirdekte calisan bir rootkit tam da bu cevaplari uretim noktasinda degistirebilir. Bir surec listesini, acik ag baglantilarini ya da diskteki dosyalari sorgulayan aracin gordugu tablo, rootkit tarafindan filtrelenmis olabilir. Bu, teknigi olaganustu guclu bir Savunmadan kacinma araci yapar; cunku aldatma, guvenlik araciyla ayni ya da daha yuksek ayricalik duzeyinde gerceklesir.

Yaygin Teknikler

Klasik yontemlerden biri, sistem cagri tablosunun ya da cesitli cekirdek islevlerinin adreslerini degistirerek cagrilari rootkit’in kendi koduna yonlendirmektir (hooking). Bir diger yaygin teknik DKOM’dur (Direct Kernel Object Manipulation); rootkit, cekirdegin bellekteki nesne listelerini dogrudan degistirir, ornegin bir surece ait dugumu surec listesinden koparir ve boylece surec calismaya devam ederken listede gorunmez olur. Modern varyantlar imzali surucu istismarlariyla ya da guvenli onyukleme zincirindeki bosluklarla cekirdege sizmayi hedefler.

Kalicilik ile Iliskisi

Cekirdek duzeyindeki bir rootkit, cogu zaman bir surucu (driver) olarak onyukleme sirasinda erkenden yuklendigi icin son derece dayanikli bir Kalicilik saglama zemini sunar. Guvenlik araclarindan once yuklenmesi, onlari daha baslamadan kor birakabilmesi anlamina gelir. Bu yonuyle kernel rootkit’ler, kullanici modundaki basit bir Rootkit varyantindan cok daha zor tespit edilir ve cok daha kalicidir.

Tespit ve Savunma

Savunmanin bir bacagi, cekirdegin butunlugunu korumaya calisan donanim ve isletim sistemi ozelliklerine dayanir; imzali surucu zorunlulugu, guvenli onyukleme ve Bellek koruma teknikleri gibi mekanizmalar rootkit’in cekirdege yerlesmesini zorlastirir. Tespit tarafinda ise carpik tablolar aramak, cekirdek nesnelerinin tutarliligini denetlemek ve mumkun oldugunda supheli sistemi disaridan (bellek imaji ya da harici onyukleme uzerinden) incelemek gerekir; cunku sistemin kendi verdigi cevaplara guvenilemez.

Bu tur derin gizlenme yontemlerine karsi bir kurumun gorunurlugunu gercekci sekilde olcmenin yolu, onlari kontrollu kosullarda denemekten gecer. Privia Security’nin red team hizmeti, cekirdek duzeyi kacinma ve kalicilik senaryolarini simule ederek savunma araclarinin sinirlarini ortaya cikarir.