yo me refería también en modo usuario

a ver, igual estoy un poco espeso  , pero si en cada proceso hookeas loadlibrary puedes parchear las apis en tiempo de carga, luego hookeas toda la historia de crear procesos para poder hookear loadlibrary en cada proceso nuevo que se cree.
Con esto todos los procesos del sistema tienen hookeada loadlibrary, cada libreria que se llame kernel32 pongamos, le parcheamos el hook a la funcion que queramos, luego ven la misma libreria todos, y en todos esta el hook!, luego necesitarías el checksum a priori, porque sino el checksum de la api parcheada es el mismo que el checksum de la misma api en otro proceso porque tambien se parcheo.
Esto se puede hacer todo en user mode

Touché   

Losp rocesos, al iniciarse no usan LoadLibrary para cargar las Dll's que van a usar, lo carga el loader de Windows leyendo la IAT del archivo a ejecutar.


Para que todos los procesos tengan el hook en una API, tienes que inyectar codigo/dll en dicho proceso para que lo hookee, ya que cada proceso se va a iniciar con la Dll "limpia" (ya que los hooks son en memoria, no en disco, donde serian de forma permanente).

Advertencia - mientras estabas escribiendo, fueron publicadas 2 respuestas. Probablemente desees revisar tu mensaje


Exacto, en memoria no te hace falta transformar direcciones virtuales a físicas (reales), cosa que tendrás que hacer si lo lees en disco...

Advertencia - mientras estabas escribiendo, fueron publicadas 2 respuestas. Probablemente desees revisar tu mensaje



Pues llamas directamente a NtOpenFile, que seguro que si no hay rootkit en modo kernel no te lo Hookea 

Un Saludo  

Ya, pero usan createprocess, el proceso es asi:
partimos de todos los procesos del sistema hookeados(supuesto)
cada vez que se llama createprocess(que esta hookeado) en el nuevo proceso tras cargarlo, inyectamos el hook, y hookeamos todo(tirando de loadlibrary y getprocaddress por ejemplo, no se cargaron con loadlibrary sino el loader de windows, pero antes de que empiece a ejecutarse nosotros ya estamos inyectados)
todos los procesos han de ser creado de otro proceso, como todos estaban hookeados el nuevo tambien por lo descrito anteriormente
NtOpenFile no la puedes hookear? yo creo que puedes todo menos cualquier cosa que sea solo para modo privilegiado, las Zw*

Para eso se lee el fichero, no hay que hacer ninguna conversion. yo leo los primeros bytes de la funcion en disco.

Para estos entornos, sería conveniente que nuestra aplicación guardase en su codigo, las copias del codigo de la API's a usar y las reparase si estuvieran dañadas, o de lo contrario, hacer como dijo ctlon, leer desde disco y repararlo.


Aqui tienes el link, el punto del final sobra 

http://ivanlef0u.nibbles.fr/repo/windoz/Nt_vs_Zw.txt

Lo que comentas sobre las diferencias de Nt* con Zw* son correctas, yo me referia a llamar directamente a las direcciones en modo kernel de las API's. Mira este código de ejemplo:

#include <windows.h>
#include <stdio.h>
 
typedef struct _LSA_UNICODE_STRING {
     USHORT Length;
     USHORT MaximumLength;
     PVOID Buffer;
} LSA_UNICODE_STRING, *PLSA_UNICODE_STRING;
 
typedef LSA_UNICODE_STRING UNICODE_STRING, *PUNICODE_STRING;
 
typedef DWORD (CALLBACK* RTLANSISTRINGTOUNICODESTRING)(PVOID, PVOID,DWORD);
RTLANSISTRINGTOUNICODESTRING RtlAnsiStringToUnicodeString;
typedef DWORD (CALLBACK* RTLFREEUNICODESTRING)(PVOID);
RTLFREEUNICODESTRING RtlFreeUnicodeString;
typedef DWORD (CALLBACK* ZWLOADDRIVER)(PVOID);
ZWLOADDRIVER ZwLoadDriver;
 
int LoadDriver(char * szDrvName, char * szDrvPath)
{
     char szSubKey[200], szDrvFullPath[256];
     LSA_UNICODE_STRING buf1;
     LSA_UNICODE_STRING buf2;
     int iBuffLen;
     HKEY hkResult;
     char Data[4];
     DWORD dwOK;
     iBuffLen = sprintf(szSubKey,"System\\CurrentControlSet\\Services\\%s",szDrvName);
     szSubKey[iBuffLen]=0;
     dwOK = RegCreateKey(HKEY_LOCAL_MACHINE,szSubKey,&hkResult);
     if(dwOK!=ERROR_SUCCESS)
         return false;
     Data[0]=1;
     Data[1]=0;
     Data[2]=0;
     Data[3]=0;
     dwOK=RegSetValueEx(hkResult,"Type",0,4,(const unsigned char *)Data,4);
     dwOK=RegSetValueEx(hkResult,"ErrorControl",0,4,(const unsigned char *)Data,4);
     dwOK=RegSetValueEx(hkResult,"Start",0,4,(const unsigned char *)Data,4);
     GetFullPathName(szDrvPath, 256, szDrvFullPath, NULL);   
     printf("Loading driver: %s\r\n", szDrvFullPath);
     iBuffLen = sprintf(szSubKey,"\\??\\%s",szDrvFullPath);
     szSubKey[iBuffLen]=0;
     dwOK=RegSetValueEx(hkResult,"ImagePath",0,1,(const unsigned char *)szSubKey,iBuffLen);
     RegCloseKey(hkResult);
     iBuffLen = sprintf(szSubKey,"\\Registry\\Machine\\System\\CurrentControlSet\\Services\\%s",szDrvName);
     szSubKey[iBuffLen]=0;
     buf2.Buffer = (PVOID)szSubKey;
     buf2.Length = iBuffLen;
     RtlAnsiStringToUnicodeString(&buf1,&buf2,1);
 
     dwOK = ZwLoadDriver(&buf1);
     RtlFreeUnicodeString(&buf1);
     iBuffLen=sprintf(szSubKey,"%s%s\\Enum","System\\CurrentControlSet\\Services\\",szDrvName);
     szSubKey[iBuffLen]=0;
 
     RegDeleteKey(HKEY_LOCAL_MACHINE,szSubKey);
     iBuffLen=sprintf(szSubKey,"%s%s\\Security","System\\CurrentControlSet\\Services\\",szDrvName);
     szSubKey[iBuffLen]=0;
     RegDeleteKey(HKEY_LOCAL_MACHINE,szSubKey);
     iBuffLen=sprintf(szSubKey,"%s%s","System\\CurrentControlSet\\Services\\",szDrvName);
     szSubKey[iBuffLen]=0;
     RegDeleteKey(HKEY_LOCAL_MACHINE,szSubKey);
     iBuffLen=sprintf(szSubKey,"\\\\.\\%s",szDrvName);
     szSubKey[iBuffLen]=0;
     return true;
}
 
int main(int argc, char *argv[])
{
     printf("Load driver with ZwLoadDriver( )\r\n");
     printf("Date: 8th May 2007\r\n");
     printf("Modifed by: GaRY <wofeiwo_at_gmail_dot_com>\r\n\r\n");
     if(argc != 3)
     {
         printf("Usage: %s <DriverFilename> <DriverPath>\r\n", argv[0]);
         exit(-1);
     }
     HMODULE hNtdll = NULL;
     hNtdll = LoadLibrary( "ntdll.dll" );
 
     if ( !hNtdll )
     {
         printf( "LoadLibrary( NTDLL.DLL ) Error:%d\n", GetLastError() );
         return false;
     }
 
     RtlAnsiStringToUnicodeString = (RTLANSISTRINGTOUNICODESTRING)
         GetProcAddress( hNtdll, "RtlAnsiStringToUnicodeString");
     RtlFreeUnicodeString = (RTLFREEUNICODESTRING)
         GetProcAddress( hNtdll, "RtlFreeUnicodeString");
     ZwLoadDriver = (ZWLOADDRIVER)
         GetProcAddress( hNtdll, "ZwLoadDriver");
 
     if(LoadDriver(argv[1], argv[2]) == false) return false;
     return true;
}

Sirve para cargar un driver llamando a ZwLoadDriver (Muchos AntiVirus dejan (o dejaban) cargar drivers de esta manera, pero los bloqueaban al cargarlos "normalmente" (creando el servicio y demás)). Este código llama directamente a la API ZwLoadDriver. En teoría el Rootkit no podría hookear dicha llamada ya que previamente hemos reparado nuestra LoadLibrary y GetProcAddress y una vez las tenemos limpias, cargamos esta librería y llamamos. De esta manera nos evitamos pasar por ciertas librerías que son más propensas a contener hooks en modo usuario (Kernel32.dll, User32.dll, etc.). Pero bueno, si reparamos los hooks no hacer falta hacer tanto tinglado 

Un Saludo