IT-forensik · Linux

Forensisk analys av kärnmoduler – granska utökningar av kärnans funktionalitet

Kärnmoduler utökar Linux-kärnans funktionalitet dynamiskt, till exempel med enhetsdrivrutiner eller stöd för filsystem, utan att en omstart krävs. De laddas både automatiskt och manuellt.

Begär en icke-bindande offert

Eftersom kärnmoduler körs med de högsta systemrättigheterna utgör manipulerade eller skadliga moduler ett särskilt effektivt verktyg för rootkits, som kan dölja aktiviteter djupt inne i systemet.

Varför LanCologne?

Sedan starten har LanCologne främst ägnat sig åt professionell IT-forensik. Våra medarbetare har årtionden av erfarenhet inom informationsteknik och bistår företag, advokater, privatpersoner samt regelbundet även domstolar med teknisk utredning av komplexa digitala ärenden.

Undersökningen genomförs i princip uteslutande på en forensisk kopia, en forensisk avbildning eller en datakälla som har registrerats på ett tekniskt likvärdigt och bevisvärdigt sätt. Det ursprungliga bevismaterialet förblir oförändrat och förvaras på ett bevisvärdigt sätt.

Våra tjänster

Vi registrerar alla kernelmoduler som har laddats och alla som laddas automatiskt vid systemstart, kontrollerar dem mot kända signaturer och avvikelser samt undersöker tecken på beteende som är typiskt för rootkits.

Typiska användningsområden

•Upptäckt av rootkits i kärnan
•Undersökning av manipulerade eller osignerade moduler
•Analys av automatiskt installerade drivrutiner och tillägg
•Bedömning av uthållighet som är djupt förankrad i systemet
•Incidenthantering på Linux-system
•Rättsliga och utomrättsliga utlåtanden

Så här går en analys av en kärnmodul till

Efter säkerhetskopieringen registreras både laddade och de kärnmoduler som är konfigurerade för automatisk start. Dessa kontrolleras med avseende på kända signaturer, signeringsstatus och avvikelser. Misstänkta moduler undersöks separat, inklusive eventuella tecken på typiskt rootkit-beteende, såsom döljande av processer eller nätverksanslutningar.

Varför är analysen av kärnmoduler relevant ur ett kriminaltekniskt perspektiv?

Eftersom kärnmoduler agerar med högsta behörighet kan skadliga moduler dölja omfattande systemaktiviteter, däribland processer, nätverksanslutningar och filer som görs osynliga för standardverktyg.

För att upptäcka sådana rootkits krävs ofta en analys utanför det potentiellt komprometterade systemet som är igång, till exempel genom en oberoende undersökning av en forensisk avbildning.

Vanliga frågor

Vad är ett kernel-rootkit?+
Skadlig programvara som integreras i operativsystemet som en kärnmodul och därmed får omfattande möjligheter att dölja sina egna aktiviteter.
Kan signerade moduler också vara skadliga?+
I princip ja, en giltig signatur i sig är inte ett slutgiltigt bevis på att en modul är äkta.
Varför är det riskabelt att undersöka ett system som är i drift och som eventuellt har utsatts för intrång?+
Ett aktivt rootkit kan på ett målinriktat sätt manipulera standardverktyg för systemanalys, varför en oberoende undersökning av en forensisk avbildning är att föredra.

🔗 Relaterade ämnen

LanCologne – Linux-forensik Köln

Behöver ni en professionell kriminalteknisk undersökning av „kriminalteknisk analys av kärnmoduler"? LanCologne hjälper er med att säkerhetskopiera digitala bevis på ett sätt som håller i domstol samt med en spårbar utvärdering av relevanta Linux-artefakter.

Kontakta oss nu