Проектът Singularity развива открит руткит, заобикалящ SELinux, Netfilter, LKRG и eBPF

Матheus Alves, експерт по сигурността, специализиран в зловреден софтуер, публикува обновление на проекта Singularity, който развива отворен руткит за ядрото на Linux, предоставен под лицензия MIT. Целта на проекта е да демонстрира методи, които позволяват да се скрие присъствието след получаване на root достъп и да се запази възможността за скрито изпълнение на привилегировани операции. Смята се, че Singularity може да бъде полезен за изследователите по сигурността при тестване и разработка на инструменти за откритие и блокиране на руткити.

Руткитът е оформен като модул за ядрата на Linux 6.x и използва механизма ftrace за незабележимо прихващане на системни повиквания без да променя точките на вход за системните повиквания и без модификация на функциите на ядрото. Singularity поддържа скриването на своето присъствие в системата, както и скриването на определени процеси, свързани с атакуващия, файлове и мрежова активност. За удобство на изследователите, функционалността на руткита е разделена на модули.

В допълнение към типичните методи за маскиране на присъствието в системата, като скриване на необходими процеси, файлове, директории и модули на ядрото, Singularity реализира няколко усъвършенствани метода за заобикаляне на защитните механизми и улесняване на откритията от специализирани руткит скенери, като Falco, ghostscan, tracee, unhide, chkrootkit и rkhunter. Между другото, Singularity може да скрива своята активност от инструменти, използващи eBPF, да премахва блокировките на eBPF, да предотвратява зареждането на ядрените модули, да се противопоставя на анализи на вход/изход чрез подсистемата io_uring, както и да заобикаля проверките за целостност, извършвани от модула LKRG (Linux Kernel Runtime Guard).

В Singularity има reverse shell, предоставящата привилегирован отдалечен достъп до системата чрез изпращане на ICMP пакети, както и обработчици, които позволяват скриването на процеси или повишаване на привилегиите в системата чрез определени манипулации със сигнали и променливи на средата. Например, за скриване на процес от /proc и за изход на утилити като ps, може да се изпълни "kill -59 PID_процеса", а за повишаване на привилегиите да се зададе променливата на средата "MAGIC=mtz".

Rootkitът скрива трафика на reverse shell от мрежови анализатори и позволява заобикалянето на обработчиците SELinux, които реагират на ICMP. Singularity също така включва възможности за скриване на определени мрежови връзки от таблиците \/proc\/net\/nf_conntrack, netlink-обработчиците SOCK_DIAG\/NETFILTER и утилитите, подобни на netstat, ss, lsof, tcpdump и wireshark. Налични са обработчици за почистване на съобщенията в аудитите и записите в логовете (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Има филтри за противодействие на анализаторите на паметта, като Volatility, използващи \/proc\/kcore, \/proc\/kallsyms и \/proc\/vmallocinfo, а също така и възможности за филтриране на директни заявки към блочни устройства, за да се предотврати нискоуровневия анализ на съдържанието на файловата система.

Източник: opennet.ru