Forscher von Gen Threat Labs haben einen neuen, komplexen Rootkit namens Snapekit entdeckt, der sich auf das Arch Linux System in der Version 6.10.2-arch1-1 auf der Architektur x86_64 konzentriert. Snapekit ermöglicht Angreifern den unautorisierten Zugriff auf das System und dessen Kontrolle, wÀhrend es unbemerkt bleibt.
Der Rootkit integriert sich in das Betriebssystem, indem er 21 Systemaufrufe abfĂ€ngt und modifiziert â ein Kommunikationsmechanismus zwischen Anwendungen und dem Betriebssystemkern. Snapekit verwendet einen speziellen Droppper fĂŒr die Bereitstellung. Der Rootkit kann beliebte Analyse- und Debugging-Tools wie Cuckoo Sandbox, JoeSandbox, Hybrid-Analysis, Frida, Ghidra und IDA Pro erkennen und umgehen. Wenn eines dieser Tools entdeckt wird, Ă€ndert Snapekit sein Verhalten, um der Entdeckung zu entgehen.
Das Hauptziel von Snapekit besteht darin, schĂ€dlichen Code zu verbergen, indem es im Benutzermodus statt im stĂ€rker kontrollierten Kernelmodus agiert. Diese Herangehensweise erschwert die Erkennung und Analyse der Bedrohung erheblich. DarĂŒber hinaus verwendet der Rootkit Schutzmechanismen wie PTrace, um Debugging-Versuche zu identifizieren, was die Arbeit fĂŒr Analysten und IT-Sicherheitsexperten zusĂ€tzlich erschwert.
Snapekit verfĂŒgt ĂŒber mehrschichtige Umgehungsmechanismen, die nicht nur automatisierte Analysetools (Sandboxen) umgehen, sondern auch die manuelle Analyse erschweren. Der Schöpfer des Rootkits, bekannt unter dem Pseudonym Humzak711, plant, das Snapekit-Projekt demnĂ€chst als Open Source auf GitHub zu veröffentlichen. virtuellen Maschinen), sondern erschweren auch die manuelle Analyse. Der Schöpfer des Rootkits, bekannt unter dem Pseudonym Humzak711, plant in naher Zukunft, das Projekt Snapekit mit offenem Quellcode auf GitHub zu veröffentlichen.
Quelle: linux.org.ru
