### 高级持久化-1 内核级 Rootkit #### 1. 链路定位 - MITRE ATT&CK 战术阶段：TA0003 持久化 + TA0005 防御规避。 - 对应技术族：T1014 Rootkit、T1547.006 内核模块（LKM）、T1543.003 服务/驱动。 - 定位：内核态挂钩隐藏自身与行为，重装用户态难清，严重。 #### 2. 前置条件 - 已获内核执行能力（签名驱动/漏洞驱动 BYOVD/提权）。 - 目标驱动签名策略与内核防护状态已知。 - 理解内核态改动受 PatchGuard/HVCI 约束。 #### 3. 技术原理 - Windows：加载驱动后挂钩系统调用分发（SSDT Hook）或内联改写函数入口，篡改进程/文件/网络列举的返回结果，使自身从枚举中消失。内核回调也可被篡改（衔接规避-4）。 - Linux：LKM 内核模块劫持 `sys_call_table` 对应项，或借恶意 eBPF 程序挂载到钩子点过滤观测。eBPF 本是可观测机制，被反向用于隐藏。 - 共性：运行在最高特权层，用户态工具读到的列表是被过滤后的结果，隐藏发