{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Das Singularity-Projekt entwickelt einen offenen Rootkit, der SELinux, Netfilter, LKRG und eBPF umgeht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, ein Sicherheitsforscher, der sich auf Malware spezialisiert hat, hat ein Update f\u00fcr das Projekt Singularity ver\u00f6ffentlicht, das ein Open-Source-Rookit f\u00fcr den Linux-Kernel entwickelt, das unter der MIT-Lizenz verbreitet wird. Ziel des Projekts ist es, Methoden zu demonstrieren, die es erm\u00f6glichen, seine Pr\u00e4senz nach Erlangung von Root-Rechten zu verbergen und die M\u00f6glichkeit zur verdeckten Ausf\u00fchrung privilegierter Operationen aufrechtzuerhalten. Singularity k\u00f6nnte f\u00fcr Sicherheitsforscher n\u00fctzlich sein, um Tools zur Erkennung und Blockierung von Rootkits zu testen und zu entwickeln. <\/p>\n
Das Rootkit ist als Modul f\u00fcr Linux-Kernel 6.x gestaltet und nutzt den ftrace-Mechanismus, um Systemaufrufe unbemerkt abzufangen, ohne die Einstiegspunkte f\u00fcr Systemaufrufe zu \u00e4ndern oder Kernel-Funktionen zu modifizieren. Singularity unterst\u00fctzt das Verbergen seiner Pr\u00e4senz im System sowie das Verbergen bestimmter durch den Angreifer initiierter Prozesse, zugeh\u00f6riger Dateien und Netzwerkaktivit\u00e4ten. Zur Erleichterung der Forscher ist die Funktionalit\u00e4t des Rootkits in Module unterteilt. <\/p>\n
Neben typischen Methoden zur Maskierung der Pr\u00e4senz im System, wie das Verbergen notwendiger Prozesse, Dateien, Verzeichnisse und Kernel-Module, implementiert Singularity mehrere fortschrittliche Methoden, um Schutzmechanismen zu umgehen und die Entdeckung durch spezialisierte Rootkit-Scanner wie Falco, ghostscan, tracee, unhide, chkrootkit und rkhunter zu erschweren. Unter anderem kann Singularity seine Aktivit\u00e4t vor Tools verbergen, die eBPF verwenden, eBPF-Sperren entfernen, das Laden von Kernel-Modulen verhindern, der Analyse von Ein-\/Ausgaben \u00fcber das io_uring-Subsystem entgegenwirken und Integrit\u00e4tspr\u00fcfungen des LKRG (Linux Kernel Runtime Guard) umgehen. <\/p>\n
In Singularity gibt es eine Reverse Shell, die privilegierten remote Zugriff auf das System \u00fcber das Senden von ICMP-Paketen erm\u00f6glicht, sowie Handler, die es erm\u00f6glichen, Prozesse zu verbergen oder Privilegien im System durch bestimmte Manipulationen mit Signalen und Umgebungsvariablen zu erh\u00f6hen. Zum Beispiel kann man zur Verbergung eines Prozesses aus \/proc und zur Ausgabe von Tools wie ps den Befehl \u201ekill -59 PID_des_Prozesses\u201c ausf\u00fchren, und um die Privilegien zu erh\u00f6hen, kann man die Umgebungsvariable \u201eMAGIC=mtz\u201c setzen. <\/p>\n
Rootkits verbergen den Reverse-Shell-Verkehr vor Netzwerkanalysatoren und erm\u00f6glichen es, SELinux-Handler zu umgehen, die bei ICMP ausgel\u00f6st werden. Singularity bietet au\u00dferdem Funktionen zur Verbergung bestimmter Netzwerkverbindungen aus den Tabellen \/proc\/net\/nf_conntrack, Netlink-Handlern SOCK_DIAG\/NETFILTER und Tools wie netstat, ss, lsof, tcpdump und wireshark. Es sind Handler verf\u00fcgbar, um Audit-Nachrichten zu bereinigen und in Logs zu schreiben (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Es gibt Filter zur Bek\u00e4mpfung von Speicheranalysatoren wie Volatility, die \/proc\/kcore, \/proc\/kallsyms und \/proc\/vmallocinfo verwenden, sowie M\u00f6glichkeiten zur Filterung von direkten Zugriffen auf Blockger\u00e4te, um eine tiefgreifende Inhaltsanalyse des Dateisystems zu verhindern.
![\"Video](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n