Kernel rootkits, skadlig programvara utformad för att äventyra en körande operativsystem kärna, är svåra att analysera och profilera på grund av deras svårfångade natur, variationen och komplexiteten i deras beteende, och den privilegienivå på vilken de kör. Men, en omfattande kärna rootkit profil som avslöjar viktiga aspekter av rootkit beteende är till hjälp för att hjälpa en detaljerad manuell analys av en mänsklig expert. I detta papper presenterar vi PoKeR, en kärna rootkit profiler som kan producera multi-aspect rootkit profiler som inkluderar avslöjande av rootkit krokande beteende, exponering av riktade kärnobjekt (både statiska och dynamiska), bedömning av användarnivå påverkan, samt extraktion av kärnan rootkit kod. Systemet är utformat för att användas i scenarier som tål höga omkostnader, t.ex. honungskrukor. Våra utvärderingsresultat med ett antal verkliga kärnrootkit visar att PoKeR exakt kan profilera en mängd olika rootkit som sträcker sig från traditionella med systemsamtalskrok till mer avancerade med direkt kärnobjektmanipulering. De erhållna profilerna leder till unika insikter i rotkitens egenskaper och visar PoKeR:s användbarhet som ett verktyg för rootkit-utredare.
PoKeR REF profilerar en kärna rootkit beteende genom att traversera från statiska objekt för att lokalisera dynamiska objekt och utföra adress-objektkartläggning.
Multi-aspect profiling of kernel rootkit behavior
{'venue': "EuroSys '09", 'journal': None, 'mag_field_of_study': ['Computer Science']}