1. 项目定位与用途
CHIMERA 是一个专为防御性安全研究设计的 Linux rootkit 框架研究 artifact。其核心定位是作为研究工具，用于文档化并研究高级 offensive 技术，从而帮助防御方开发更有效的检测与缓解措施。项目明确声明仅用于研究目的，强调未经授权在非所属系统部署属于违法行为。通过在内核空间实现完整的 rootkit 功能链，CHIMERA 为研究人员提供了一个高度仿真的测试环境，用于评估和提升对复杂内核级攻击的防御能力。
项目档案插件 / 扩展
CHIMERA Linux Rootkit 框架：内核级持久化与加密 C2 研究工具 - 安装与使用指南
CHIMERA 是一个专为防御性安全研究设计的 Linux rootkit 框架研究 artifact，实现内核空间持久化、加密 C2、hypervisor 规避与代码多态化。本页详细介绍其架构、安装步骤、使用方式及技术实现特点，适用于安全研究人员进行高级内核威胁分析与检测技术开发。
AI 总结
CHIMERA 是一个专为防御性安全研究设计的高级 Linux rootkit 框架研究 artifact，实现内核空间持久化、加密 C2、hypervisor 规避与代码多态化，帮助研究人员深入理解并检测复杂内核级攻击。
中文项目介绍
CHIMERA 是一个专为防御性安全研究设计的 Linux rootkit 框架研究 artifact，旨在帮助安全研究人员深入理解高级内核威胁技术并开发相应检测方案。
该项目解决了在 Linux 内核层实现隐蔽持久化、加密命令与控制通信、虚拟化环境检测规避以及运行时代码自动变异等关键技术难题。其核心价值在于模拟真实高级威胁的技术能力，为防御方提供可测试的基准环境。
适用场景包括：防御性安全研究（分析高级内核威胁技术）、rootkit 检测技术开发与测试、以及内核安全教学与演示。所有组件在模块加载后完全驻留内核空间，不保留任何用户空间进程或二进制文件，从而高度模拟真实攻击行为。
技术特征上，CHIMERA 采用模块化架构，通过 rk_core 核心模块调度各子系统；通信基于内核 TCP 套接字并使用 AES-256-CBC 加密；隐藏技术覆盖进程（/proc）、网络（tcp 连接）与文件（VFS 路径过滤）；持久化支持五种独立向量；运行多态通过 xor-shift cipher 实现代码自动变异；同时具备多层 hypervisor 检测与内存保护自毁机制。
详细信息与使用说明
2. 核心功能与解决的问题
CHIMERA 解决了 Linux 内核层高级 rootkit 技术的多项关键挑战：首先，通过五向持久化机制（cron、systemd、LD_PRELOAD、modules-load.d、rc.local）确保模块在系统重启后自动加载；其次，实现纯内核空间的加密 C2 通信，使用 AES-256-CBC 加密载荷、RSA-2048 保护会话密钥，通过内核 TCP 套接字与 C2 服务器建立连接；第三，提供多层 hypervisor 检测与规避，通过 CPUID、RDTSC、DMI/SMBIOS、MSR 分析识别虚拟化环境并调整行为；第四，运行多态引擎通过 xor-shift cipher 和生成计数器实现代码自动变异，规避特征码检测；最后，stealth 子系统通过钩子 proc 迭代器、tcp4_seq_show 和 VFS 路径过滤实现进程、网络连接和文件的隐藏，且不修改 sys_call_table 以规避 EDR 监控。
3. 适用场景
CHIMERA 主要适用于以下场景：防御性安全研究，用于分析高级内核威胁技术的工作原理和攻击链；rootkit 检测技术开发与测试，作为红队工具验证蓝队检测规则的有效性；内核安全教学与演示，帮助学生和新手理解内核级攻击与防御的复杂性。项目明确限制为研究用途，禁止在未经授权的系统上使用，所有测试应在隔离的实验环境中进行。
4. 安装方式
CHIMERA 的安装过程包含以下步骤：首先，确保目标系统已安装与运行内核版本完全匹配的 linux-headers 开发包，这是编译内核模块的必要条件；其次，在项目根目录执行 make 命令，使用内核构建系统编译生成原始内核模块文件（.ko）；第三，使用 Python3 运行 tools/mutator.py 脚本对生成的 .ko 文件进行加密处理，该脚本会应用多态变换并生成加密版本；最后，通过 loader/rk_loader 工具将加密后的模块加载到内核中，该加载器使用 memfd_create 和 init_module 系统调用实现无文件加载。注意：整个流程需要在具有足够权限的环境中进行，且仅限研究用途。
5. 使用方式
CHIMERA 的使用流程如下：首先执行 python3 tools/mutator.py 对编译生成的 .ko 文件进行加密处理，该步骤会应用多态变换；然后运行 loader/rk_loader 将加密模块注入内核，加载器通过 memfd + init_module 实现无文件加载；模块初始化后，rk_core 会自动按顺序启动各子系统：安装持久化机制（在非虚拟化环境下）、初始化 hypervisor 检测、设置 stealth 钩子、启动 beacon 通信线程、激活内存保护；最后，模块通过加密的 C2 通道与远程服务器建立连接，接收并执行命令。所有操作均在内核空间完成，无用户空间残留。
6. 技术实现特点
CHIMERA 的技术实现具有多个显著特点：架构上采用高度模块化设计，rk_core 作为调度中心协调各子系统启动；通信层完全在内核空间实现，使用 Linux 内核 Crypto API 提供 AES-256-CBC 和 RSA-2048 加密，避免用户空间依赖；隐藏技术创新地通过替换 proc_ops 和 seq_ops 结构体中的函数指针实现，而非修改 sys_call_table，从而规避常见的 EDR 完整性监控；持久化支持五种独立向量，且仅在确认非虚拟化环境下安装，避免在分析环境中暴露；多态引擎基于 xor-shift cipher 和生成计数器，每次加载产生不同代码形态；防御机制包括模块加载通知器、页保护与自毁逻辑，可检测 forensic 工具并触发安全擦除。整个框架在加载后完全内核驻留，无用户空间进程或二进制文件残留。
思维导图
CHIMERA
Userland (临时)
rk_loader
mutator.py
Kernel Space (驻留)
Core (rk_core)
Comms (rk_beacon)
Crypto (rk_crypto)
Stealth (rk_hide)
Evasion (rk_hv_evasion)
Defense (rk_mem_guard)
Persist (rk_persist)
Polymorph (rk_polymorph)
External
C2 Server (:443)
Forensic Tools (LiME/Volatility)
常见问题
CHIMERA 是什么？
CHIMERA 是一个专为防御性安全研究设计的 Linux rootkit 框架研究 artifact，用于研究高级内核威胁技术，帮助开发检测方案。它实现内核空间持久化、加密 C2、hypervisor 规避与代码多态化，所有组件在加载后完全驻留内核，无用户空间残留。
CHIMERA 用于什么场景？
CHIMERA 适用于防御性安全研究（分析高级内核威胁技术）、rootkit 检测技术开发与测试、以及内核安全教学与演示。项目明确限制为研究用途，禁止在未经授权的系统上使用，所有测试应在隔离的实验环境中进行。
如何安装 CHIMERA？
安装需确保系统已安装匹配内核版本的 linux-headers 开发包；运行 make 编译生成 .ko 文件；使用 python3 tools/mutator.py 对 .ko 文件进行加密；通过 loader/rk_loader 将加密模块加载到内核。整个过程需要足够权限，且仅限研究用途。
CHIMERA 的主要技术特点有哪些？
主要特点包括：内核空间常驻无残留、模块化架构（rk_core 调度）、加密 C2 通信（AES-256-CBC + RSA-2048）、多层面隐藏（/proc、tcp、VFS 钩子）、五向持久化（cron/systemd/LD_PRELOAD/modules-load.d/rc.local）、运行多态（xor-shift cipher）、多层 hypervisor 检测规避（CPUID/RDTSC/DMI/MSR）以及内存保护与自毁机制。
使用 CHIMERA 需要注意什么？
项目仅用于研究目的，禁止在未经授权系统使用；需在具有足够权限的隔离环境操作；所有组件驻留内核，不当使用可能导致系统不稳定；模块会修改内核状态并安装持久化，测试后需彻底清理；应遵守当地法律法规，仅在自己拥有的系统或授权实验环境中进行测试。