Forscher von Gen Threat Labs haben einen neuen, komplexen Rootkit namens Snapekit entdeckt, der sich auf das Arch Linux System in der Version 6.10.2-arch1-1 auf der Architektur x86_64 konzentriert. Snapekit ermöglicht Angreifern den unautorisierten Zugriff auf das System und dessen Kontrolle, während es unbemerkt bleibt.
Der Rootkit integriert sich in das Betriebssystem, indem er 21 Systemaufrufe abfängt und modifiziert — ein Kommunikationsmechanismus zwischen Anwendungen und dem Betriebssystemkern. Snapekit verwendet einen speziellen Droppper für die Bereitstellung. Der Rootkit kann beliebte Analyse- und Debugging-Tools wie Cuckoo Sandbox, JoeSandbox, Hybrid-Analysis, Frida, Ghidra und IDA Pro erkennen und umgehen. Wenn eines dieser Tools entdeckt wird, ändert Snapekit sein Verhalten, um der Entdeckung zu entgehen.
Das Hauptziel von Snapekit besteht darin, schädlichen Code zu verbergen, indem es im Benutzermodus statt im stärker kontrollierten Kernelmodus agiert. Diese Herangehensweise erschwert die Erkennung und Analyse der Bedrohung erheblich. Darüber hinaus verwendet der Rootkit Schutzmechanismen wie PTrace, um Debugging-Versuche zu identifizieren, was die Arbeit für Analysten und IT-Sicherheitsexperten zusätzlich erschwert.
Snapekit verfügt über mehrschichtige Umgehungsmechanismen, die nicht nur automatisierte Analysetools (Sandboxen) umgehen, sondern auch die manuelle Analyse erschweren. Der Schöpfer des Rootkits, bekannt unter dem Pseudonym Humzak711, plant, das Snapekit-Projekt demnächst als Open Source auf GitHub zu veröffentlichen. virtuellen Maschinen), sondern erschweren auch die manuelle Analyse. Der Schöpfer des Rootkits, bekannt unter dem Pseudonym Humzak711, plant in naher Zukunft, das Projekt Snapekit mit offenem Quellcode auf GitHub zu veröffentlichen.
Quelle: linux.org.ru
