{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Singularity-projektet udvikler en \u00e5ben rootkit, der omg\u00e5r SELinux, Netfilter, LKRG og eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, en sikkerhedsforsker med speciale i malware, har offentliggjort en opdatering af projektet Singularity, der udvikler en \u00e5ben rootkit til Linux-kernen, distribueret under MIT-licensen. Projektets m\u00e5l er at demonstrere metoder, der g\u00f8r det muligt at skjule sin tilstedev\u00e6relse efter at have f\u00e5et root-adgang og bevare evnen til skjult udf\u00f8relse af privilegerede operationer. Det antages, at Singularity kan v\u00e6re nyttigt for sikkerhedsforskere til at teste og udvikle v\u00e6rkt\u00f8jer til detektering og blokering af rootkits. <\/p>\n
Rootkittet er designet som et modul til Linux-kernene 6.x og bruger ftrace-mekanismen til diskret at opfange systemopkald uden at \u00e6ndre indgangspunktet for systemopkaldene og uden at modificere kernefunktioner. Singularity underst\u00f8tter skjulingen af sin tilstedev\u00e6relse i systemet samt skjulingen af angrebsm\u00e5den, der er angivet af angriberen, og relaterede filer og netv\u00e6rksaktivitet. For at g\u00f8re det lettere for forskerne er rootkittens funktionalitet opdelt i moduler. <\/p>\n
Ud over typiske metoder til at maskere sin tilstedev\u00e6relse i systemet, s\u00e5som skjulning af n\u00f8dvendige processer, filer, mapper og kerne-moduler, implementerer Singularity flere avancerede metoder til at omg\u00e5 beskyttelsesmekanismer og g\u00f8re det mere besv\u00e6rligt at opdage specialiserede rootkit-scannere, s\u00e5som Falco, ghostscan, tracee, unhide, chkrootkit og rkhunter. Blandt andet kan Singularity skjule sin aktivitet fra v\u00e6rkt\u00f8jer, der bruger eBPF, fjerne eBPF-l\u00e5se, forhindre indl\u00e6sning af kerne-moduler, modst\u00e5 I\/O-analyse gennem io_uring subsystemet samt omg\u00e5 integritetskontroller udf\u00f8rt af LKRG (Linux Kernel Runtime Guard). <\/p>\n
I Singularity er der en reverse shell, som giver privilegeret fjernadgang til systemet gennem sending af ICMP-pakker, samt h\u00e5ndterere, der g\u00f8r det muligt at skjule processer eller h\u00e6ve privilegierne i systemet gennem bestemte manipulationer med signaler og milj\u00f8variabler. For eksempel kan man for at skjule en proces fra \/proc og udskrifterne fra v\u00e6rkt\u00f8jer som ps udf\u00f8re \"kill -59 PID_processen\", og for at h\u00e6ve privilegierne s\u00e6tte milj\u00f8variablen \"MAGIC=mtz\". <\/p>\n
Rootkit skjuler reverse shell trafik fra netv\u00e6rksanalysatorer og muligg\u00f8r omg\u00e5else af SELinux-h\u00e5ndterere, der reagerer p\u00e5 ICMP. Singularity inkluderer ogs\u00e5 funktioner til at skjule bestemte netv\u00e6rksforbindelser fra tabellerne \/proc\/net\/nf_conntrack, netlink-h\u00e5ndterere SOCK_DIAG\/NETFILTER og v\u00e6rkt\u00f8jer s\u00e5som netstat, ss, lsof, tcpdump og wireshark. Der er h\u00e5ndterere til at rydde op i revisionsmeddelelser og logfiler (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Der findes filtre til at bek\u00e6mpe hukommelsesanalysemidler som Volatility, som bruger \/proc\/kcore, \/proc\/kallsyms og \/proc\/vmallocinfo, samt muligheder for filtrering af direkte adgang til bloklagermedier for at forhindre lavniveauanalyse af indholdet af filsystemet.
![\"Afspil](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n