Прототип на руткит за Linux, който използва io_uring за заобикаляне на анализаторите на системни повици

Изследователи от компанията ARMO демонстрираха възможността за създаване на руткити, които не използват специфични системни извиквания за извършване на типични операции, като четене/запис на файлове и получаване на команди от външен сървър. Вместо системни извиквания за извършване на мрежови и файлови операции, се предлага да се използва интерфейсът за асинхронен вход/изход io_uring, който се поддържа от ядрото на Linux 5.1.

Същността на метода е, че вместо отделни системни извиквания за достъп до файлове и извършване на мрежови операции (read/write, recv/send/connect/bind/listen) могат да се използват общи системни извиквания io_uring (io_uring_enter, io_uring_setup, io_uring_register и др.), които не се анализират от типичните инструменти за откриване на зловредна активност. Интерфейсът io_uring поддържа около 60 различни операции. В разработка е възможността за стартиране на нови процеси чрез io_uring.

За демонстрация на работата на метода е подготвен прототип на руткит Curing, който извършва действия като получаване на команди от външен сървър и предаване/промяна на файлове. В демонстрацията беше изпратен запитване на TCP порт 8888 на външен хост и изпратено съдържанието на файла «/etc/shadow». Предполага се, че след успешна компрометация на системата и получаване на права root, атакуващият инсталира руткита, за да затвърди присъствието си в хакната система.

В проведен експеримент активността на руткита Curing не беше засечена от инструментите за мониторинг Falco и Tetragon, използвани за определяне на аномалии, свързани със сигурността, на хостове и в контейнери (поддържа се интеграция с инфраструктура, базирана на Kubernetes). Указаните инструменти използват прихващане на системни извиквания за анализ на такива събития, като стартиране на процеси, мрежова активност и работа с файлове, но не вземат предвид възможността за използване на подсистемата io_uring за подобни операции. По-голямата част от наличните за Linux комерсиални системи за откриване и реагиране на инциденти по сигурността също се основават на прихващане на системни извиквания.

За да се предотврати заобикалянето на инструментите за проследяване на мрежова и файловата активност, вместо прихващане на системни повици, се препоръчва да се използва механизмът KRSI (Kernel Runtime Security Instrumentation), който е наличен в ядрото на Linux 5.7 и позволява прикрепяне на BPF-програми към всякакви LSM-хукове. Например, KRSI на ниво LSM-хукове предоставя възможност за проследяване на операции с файлове, мрежов достъп и стартиране на процеси, независимо от това дали тези операции са инициирани чрез специфични системни повици или чрез io_uring.

Горещата подсистема io_uring преди това беше обект на критика поради редовно появяващи се сериозни уязвимости. В отговор на потребителските желания за прост инструмент за деактивиране на io_uring без необходимост от преработка на ядрото, в ядрото на Linux 6.6 беше добавен sysctl io_uring_disabled. Компанията Google по подразбиране изключи io_uring в ChromeOS, Android и на своите сървъри, пояснявайки, че трагичната ситуация със сигурността при io_uring надвишава предимствата от използването на io_uring за повишаване на производителността.

Източник: opennet.ru