{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Das Singularity-Projekt entwickelt ein offenes Rootkit, das SELinux, Netfilter, LKRG und eBPF umgeht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, ein Sicherheitsforscher mit Spezialisierung auf Malware, hat ein Update f\u00fcr das Singularity-Projekt ver\u00f6ffentlicht. Dieses entwickelt ein offenes Rootkit f\u00fcr den Linux-Kernel und wird unter der MIT-Lizenz vertrieben. Ziel des Projekts ist es, Methoden zu demonstrieren, die es erm\u00f6glichen, nach Erlangung von Root-Zugriffen das eigene Vorhandensein zu verbergen und die M\u00f6glichkeit zur verborgenen Durchf\u00fchrung von privilegierten Operationen zu bewahren. Es wird angenommen, dass Singularity f\u00fcr Sicherheitsforscher n\u00fctzlich sein kann, um Tools zur Erkennung und Blockierung von Rootkits zu testen und zu entwickeln. <\/p>\n
Das Rootkit ist als Modul f\u00fcr Linux-Kernel 6.x gestaltet und verwendet den ftrace-Mechanismus, um Systemaufrufe unauff\u00e4llig abzufangen, ohne die Einstiegspunkte in die Systemaufrufe zu \u00e4ndern oder die Kernel-Funktionen zu modifizieren. Singularity unterst\u00fctzt das Verbergen seiner Pr\u00e4senz im System sowie das Verstecken von vom Angreifer festgelegten Prozessen und den damit verbundenen Dateien und Netzwerkaktivit\u00e4ten. Zur Erleichterung f\u00fcr Forscher ist die Funktionalit\u00e4t des Rootkits in Module unterteilt. <\/p>\n
Neben den typischen Methoden zur Maskierung der Pr\u00e4senz im System, wie z.B. das Verstecken notwendiger Prozesse, Dateien, Verzeichnisse und Kernelmodule, implementiert Singularity mehrere fortschrittliche Methoden, um die Schutzmechanismen zu umgehen und die Entdeckung durch spezialisierte Rootkit-Scanner wie Falco, ghostscan, tracee, unhide, chkrootkit und rkhunter zu erschweren. Unter anderem kann Singularity seine Aktivit\u00e4ten vor Tools verbergen, die eBPF verwenden, eBPF-Blockaden entfernen, das Laden von Kernelmodulen verhindern, der Analyse von Ein-\/Ausgabe \u00fcber das io_uring-Subsystem entgegenwirken und Integrit\u00e4tspr\u00fcfungen durch das Modul LKRG (Linux Kernel Runtime Guard) umgehen. <\/p>\n
In Singularity gibt es eine Reverse Shell, die privilegierten Remote-Zugang zum System durch das Senden von ICMP-Paketen erm\u00f6glicht, sowie Handler, die es erm\u00f6glichen, Prozesse zu verbergen oder Privilegien im System durch bestimmte Manipulationen mit Signalen und Umgebungsvariablen zu erh\u00f6hen. Um beispielsweise einen Prozess aus \/proc zu verbergen und ihn aus Tools wie ps auszublenden, kann man \u201ekill -59 PID_prozess\u201c ausf\u00fchren, und um Privilegien zu erh\u00f6hen, die Umgebungsvariable \u201eMAGIC=mtz\u201c setzen. <\/p>\n
Der Rootkit verbirgt den Traffic des Reverse Shells vor Netzwerk-Analysatoren und erm\u00f6glicht es, SELinux-Handler zu umgehen, die auf ICMP reagieren. Singularity bietet auch Funktionen zum Verbergen bestimmter Netzwerkverbindungen aus den Tabellen \/proc\/net\/nf_conntrack, den Netlink-Handlern SOCK_DIAG\/NETFILTER sowie Tools wie netstat, ss, lsof, tcpdump und wireshark. Es stehen Handler zur Verf\u00fcgung, um Auditnachrichten zu bereinigen und in Logs (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg) zu schreiben. Es gibt Filter, um sich gegen Speicheranalysatoren wie Volatility zu sch\u00fctzen, die \/proc\/kcore, \/proc\/kallsyms und \/proc\/vmallocinfo verwenden, sowie M\u00f6glichkeiten zur Filterung des direkten Zugriffs auf Blockger\u00e4te, um eine tiefgreifende Analyse des Inhalts des Dateisystems zu verhindern.
![\"Video](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n