Eso existe fácilmente? No estoy al corriente. Sin embargo, dentro del espacio de memoria que la máquina virtual asigna, el núcleo está en una ubicación predecible. Uno podría escribir código que lea la memoria y compare la estructura con lo que se espera.
Si estuviera implementando una criatura así, me concentraría en seguir las API del sistema y asegurarme de que fueran apropiadas. Un desafío probable es que las diferentes versiones del kernel tendrán cambios en diferentes áreas. Puede que tenga que hacer la asignación en una base de kernel por kernel.
Es posible que pueda ejecutar chrootkit externamente a la máquina virtual al exportar sus sistemas de archivos. Nunca he intentado tal cosa, pero apuesto a que sería un excelente proyecto de investigación.
EDITAR: o lea las imágenes de su disco directamente en vivo y use buenas comparaciones de hash conocidas desde fuera de la vM. Entonces su máquina virtual continúa funcionando, pero tiene la ventaja de la confianza de "LiveCD". Allí, ahora tengo respuestas ordenadas de lo más esotérico a lo más fácilmente disponible.
La introspección del hipervisor permite el acceso a la memoria a los invitados desde el host.
Aquí hay 2 ejemplos de envejecimiento:
1) XenAccess 2) Ukwazi-Xen
BlockWatch monitorea los sistemas operativos invitados mediante la inspección de las instantáneas de memoria.
Utiliza instantáneas porque normalmente se pueden convertir en un formato común (MINIDUMP), este es el caso de Hyper-V y VMWare.
BlockWatch también tiene secuencias de comandos de Python para automatizar instantáneas / exportar / escaneo de memoria / limpieza. La validación de la memoria se realiza con hash criptográficamente seguro (Tiger192). Actualmente valida los sistemas operativos Windows de 32 y 64 bits.
Desde el momento en que se hizo esta pregunta, algunos han sido puestos en libertad. De ellos, solo uno es de uso común, que es RKP de Samsung Knox . Es una solución basada en hipervisor que verifica la integridad del kernel en ejecución. Funciona detectando modificaciones en las estructuras del kernel y monitoreando las credenciales.
También hay algunos diseños experimentales, como SecVisor y Capsule .
Lea otras preguntas en las etiquetas virtualization rootkits