Проект Singularity разработва открит руткит, който заобикаля SELinux, Netfilter, LKRG и eBPF

Матус Алвес (Matheus Alves), изследовател по сигурност, специализиран в зловреден софтуер, публикува обновление на проекта Singularity, развиваващ отворен руткит за ядрото на Linux, разпространяван под лицензия MIT. Целта на проекта е да демонстрира методи, позволяващи да се скрие присъствието след получаване на root-достъп и да се запази възможността за скрито изпълнение на привилегировани операции. Предполага се, че Singularity може да бъде полезен на изследователите по сигурност за тестване и разработка на инструменти за откриване и блокиране на рутките.

Руткитът е оформен под формата на модул за ядрото на Linux 6.x и използва механизма ftrace за незабележно прихващане на системни повици без изменение на точките на вход в системните повици и без модификация на функциите на ядрото. Singularity поддържа скриването на своето присъствие в системата, както и скриването на зададени процеси от атакуващия и свързаните с тях файлове и мрежова активност. За удобство на изследователите функционалността на руткита е разделена на модули.

Освен стандартни методи за маскировка на присъствието в системата, като скриване на необходими процеси, файлове, каталози и модули на ядрото, в Singularity са реализирани няколко напреднали метода за заобикаляне на механизми за защита и затрудняване на открития от специализирани скенери за руткити, като Falco, ghostscan, tracee, unhide, chkrootkit и rkhunter. Сред другото, Singularity може да скрива своята активност от инструменти, използващи eBPF, да премахва блокировките eBPF, да пречи на зареждането на модули на ядрото, да противостои на анализа на вход/изход през подсистемата io_uring, както и да заобикаля проверки за цялост, извършвани от модула LKRG (Linux Kernel Runtime Guard).

В Singularity присъства reverse shell, предоставящ привилегирован отдалечен достъп до системата чрез изпращане на ICMP пакети, както и обработчици, даващи възможност да се постигне скриване на процеси или повишаване на привилегиите в системата чрез определени манипулации със сигнали и променливи на средата. Например, за скриване на процес от /proc и изхода на инструменти, като ps, може да се изпълни „kill -59 PID_процеса“, а за повишаване на привилегиите да се зададе променливата на средата „MAGIC=mtz“.

Руткитът скрива трафика на reverse shell от мрежови анализатори и позволява заобикаляне на обработчиците SELinux, които реагират на ICMP. Singularity също така включва възможности за скриване на определени мрежови свързвания от таблиците /proc/net/nf_conntrack, netlink обработчиците SOCK_DIAG/NETFILTER и инструменти като netstat, ss, lsof, tcpdump и wireshark. На разположение са обработчици за почистване на съобщения за одит и логове (klogctl, syslog, systemd-journal, /sys/kernel/debug/tracing/, dmesg). Има филтри, които противодействат на анализаторите на паметта, такива като Volatility, използващи /proc/kcore, /proc/kallsyms и /proc/vmallocinfo, както и възможности за филтриране на директни обращения към блокови устройства, за да се предотврати нискоуровневият анализ на съдържанието на файловата система.

Източник: opennet.ru