Snapekit: нов руткит, насочен към системи Arch Linux

Изследователи от Gen Threat Labs откриха нов сложен руткит Snapekit, насочен към система Arch Linux версия 6.10.2-arch1-1 на архитектура x86_64. Snapekit позволява на злоумышленниците да получават неразрешен достъп до системата и да я управляват, оставайки незабелязани.

Руткитът се внедрява в работата на операционната система, като прихваща и променя 21 системни извиквания — механизъм за комуникация между приложенията и ядрото на операционната система. Snapekit използва специален дроппер за разгръщане. Руткитът е способен да разпознава и избягва популярни инструменти за анализ и отстраняване на проблеми, като Cuckoo Sandbox, JoeSandbox, Hybrid-Analysis, Frida, Ghidra и IDA Pro. При откриване на един от инструментите, Snapekit променя поведението си, за да избегне откритие.

Основната задача на Snapekit е да скрива злонамерен код, оставайки в потребителското пространство, а не в по-контролирането пространство на ядрото. Този подход значително усложнява откритията и анализа на заплахата. Освен това, руткитът прилага защитни механизми PTrace, за да разпознава опити за отстраняване на проблеми, което добавя допълнителни трудности за анализаторите и специалистите по информационна безопасност.

Snapekit разполага с многослойни средства за обход, които позволяват да се избягват не само автоматизирани средства за анализ (песъчници и виртуални машини), но и затрудняват ръчния анализ. Създателят на руткита, известен под псевдонима Humzak711, планира скоро да публикува проекта Snapekit с отворен код в GitHub.

Източник: linux.org.ru