Matheus Alves, en sikkerhedsforsker med speciale i malware, har offentliggjort en opdatering af projektet Singularity, der udvikler en åben rootkit til Linux-kernen, distribueret under MIT-licensen. Projektets mål er at demonstrere metoder, der gør det muligt at skjule sin tilstedeværelse efter at have fået root-adgang og bevare evnen til skjult udførelse af privilegerede operationer. Det antages, at Singularity kan være nyttigt for sikkerhedsforskere til at teste og udvikle værktøjer til detektering og blokering af rootkits.
Rootkittet er designet som et modul til Linux-kernene 6.x og bruger ftrace-mekanismen til diskret at opfange systemopkald uden at ændre indgangspunktet for systemopkaldene og uden at modificere kernefunktioner. Singularity understøtter skjulingen af sin tilstedeværelse i systemet samt skjulingen af angrebsmåden, der er angivet af angriberen, og relaterede filer og netværksaktivitet. For at gøre det lettere for forskerne er rootkittens funktionalitet opdelt i moduler.
Ud over typiske metoder til at maskere sin tilstedeværelse i systemet, såsom skjulning af nødvendige processer, filer, mapper og kerne-moduler, implementerer Singularity flere avancerede metoder til at omgå beskyttelsesmekanismer og gøre det mere besværligt at opdage specialiserede rootkit-scannere, såsom Falco, ghostscan, tracee, unhide, chkrootkit og rkhunter. Blandt andet kan Singularity skjule sin aktivitet fra værktøjer, der bruger eBPF, fjerne eBPF-låse, forhindre indlæsning af kerne-moduler, modstå I/O-analyse gennem io_uring subsystemet samt omgå integritetskontroller udført af LKRG (Linux Kernel Runtime Guard).
I Singularity er der en reverse shell, der muliggør privilegeret fjernadgang til systemet gennem sending af ICMP-pakker, samt behandlere, der giver mulighed for at opnå skjulning af processer eller forhøje privilegier i systemet gennem bestemte manipulationer med signaler og miljøvariabler. For eksempel, for at skjule en proces fra /proc og output fra værktøjer som ps, kan "kill -59 PID_processen" udføres, og for at hæve privilegierne kan miljøvariablen "MAGIC=mtz" sættes.
Rootkit skjuler reverse shell trafik fra netværksanalysatorer og muliggør omgåelse af SELinux-håndterere, der reagerer på ICMP. Singularity inkluderer også funktioner til at skjule bestemte netværksforbindelser fra tabellerne /proc/net/nf_conntrack, netlink-håndterere SOCK_DIAG/NETFILTER og værktøjer såsom netstat, ss, lsof, tcpdump og wireshark. Der er håndterere til at rydde op i revisionsmeddelelser og logfiler (klogctl, syslog, systemd-journal, /sys/kernel/debug/tracing/, dmesg). Der findes filtre til at bekæmpe hukommelsesanalysemidler som Volatility, som bruger /proc/kcore, /proc/kallsyms og /proc/vmallocinfo, samt muligheder for filtrering af direkte adgang til bloklagermedier for at forhindre lavniveauanalyse af indholdet af filsystemet.
Kilde: opennet.ru
