Прототип на руткит за Linux, използващ io_uring за заобикаляне на анализаторите на системни извиквания.

Изследователи от компания ARMO демонстрираха възможността за създаване на руткити, които не използват специфични системни извиквания за извършване на типични операции, като четене/писане на файлове и приемане на команди от външен сървър. Вместо системни извиквания за извършване на мрежови и файлови операции, предлага се използването на интерфейса за асинхронен вход/изход io_uring, поддържан от ядрото на Linux 5.1.

Същността на метода е, че вместо отделни системни извиквания за достъп до файлове и извършване на мрежови операции (read/write, recv/send/connect/bind/listen), могат да се използват общи системни извиквания io_uring (io_uring_enter, io_uring_setup, io_uring_register и т.н.), които не се анализират от типовите инструменти за откриване на злонамерена активност. Интерфейсът io_uring поддържа около 60 различни операции. В разработка е възможност, позволяваща стартиране на нови процеси чрез io_uring.

За демонстрация на работата на метода е подготвен прототип на руткит Curing, който изпълнява действия, като приемане на команди от външния сървър и предаване/промяна на файлове. В демонстрацията беше изпратен запитване до TCP порт 8888 на външен хост и бяха изпратени съдържанието на файла „/etc/shadow“. Предполага се, че след успешна компрометация на системата и получаване на права root, атакуващият инсталира руткита, за да затвърди присъствието си в компрометираната система.

В проведен експеримент активността на руткита Curing не беше открита от инструментите за мониторинг Falco и Tetragon, използвани за определяне на свързани с безопасността аномалии на хостове и контейнери (поддържа се интеграция с инфраструктура на базата на Kubernetes). Посочените инструменти използват прихващане на системни извиквания за анализа на подобни събития, като стартиране на процеси, мрежова активност и работа с файлове, но не вземат предвид възможността за използване на подсистемата io_uring за подобни операции. По-голямата част от наличните за Linux търговски системи за откриване и реагиране на инциденти по сигурността също базират на прихващането на системни извиквания.

За да се предотврати заобикалянето на инструментите за проследяване на мрежовата и файловата активност, вместо прихващане на системните повиквания, се препоръчва да се използва механизмът KRSI (Kernel Runtime Security Instrumentation), който се появи в ядрото на Linux 5.7 и позволява прикрепяне на BPF-програми към всякакви LSM-хуки. Например, KRSI на ниво LSM-хуки дава възможност за проследяване на операции с файлове, мрежов достъп и стартиране на процеси, независимо от това дали тези операции са инициирани чрез специфични системни повиквания или чрез io_uring.

По-рано подсистемата io_uring беше обект на критика заради редовно появяващи се сериозни уязвимости. В отговор на желанията на потребителите, които искат прост инструмент за деактивиране на io_uring без пренастройване на ядрото, в ядрото на Linux 6.6 беше добавен sysctl io_uring_disabled. Компанията Google по подразбиране деактивира io_uring в ChromeOS, Android и на своите сървъри, обяснявайки, че лошата ситуация със сигурността в io_uring надвишава предимствата от използването на io_uring за повишаване на производителността.

Източник: opennet.ru