{"id":123647,"date":"2025-04-25T03:05:14","date_gmt":"2025-04-25T01:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov"},"modified":"2025-04-25T03:05:14","modified_gmt":"2025-04-25T01:05:14","slug":"prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","title":{"rendered":"Prototipo de rootkit para Linux que utiliza io_uring para eludir analizadores de llamadas al sistema","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Investigadores de la empresa ARMO demostraron la posibilidad de crear rootkits que no utilizan llamadas al sistema espec\u00edficas para llevar a cabo operaciones t\u00edpicas, como leer\/escribir archivos y recibir comandos de un servidor externo. En lugar de las llamadas al sistema, se propuso utilizar la interfaz de entrada\/salida as\u00edncrona io_uring, soportada desde el n\u00facleo de Linux 5.1. <\/p>\n

La esencia del m\u00e9todo es que, en lugar de llamadas al sistema individuales para acceder a archivos y realizar operaciones en red (read\/write, recv\/send\/connect\/bind\/listen), se pueden utilizar llamadas al sistema generales io_uring (io_uring_enter, io_uring_setup, io_uring_register, etc.), que no son analizadas por las herramientas t\u00edpicas para detectar actividades maliciosas. La interfaz io_uring soporta alrededor de 60 operaciones diferentes. Se est\u00e1 desarrollando una funcionalidad que permite iniciar nuevos procesos a trav\u00e9s de io_uring. <\/p>\n

Para demostrar la efectividad del m\u00e9todo, se prepar\u00f3 un prototipo de rootkit llamado Curing, que realiza acciones como recibir comandos de un externo servidores<\/a> y la transferencia\/cambio de archivos. En la demostraci\u00f3n se utiliz\u00f3 el env\u00edo de una solicitud al puerto TCP 8888 de un host externo y el env\u00edo del contenido del archivo \u00ab\/etc\/shadow\u00bb. Se supone que despu\u00e9s de comprometer exitosamente el sistema y obtener derechos de root, el atacante instala un rootkit para consolidar su presencia en el sistema comprometido. <\/p>\n

En el experimento realizado, la actividad del rootkit Curing no fue detectada por las herramientas de monitoreo Falco y Tetragon, que se utilizan para identificar anomal\u00edas relacionadas con la seguridad en hosts y contenedores (se soporta la integraci\u00f3n con la infraestructura basada en Kubernetes). Estas herramientas utilizan la intercepci\u00f3n de llamadas al sistema para analizar eventos como el inicio de procesos, la actividad de red y el manejo de archivos, pero no consideran la posibilidad de utilizar la subsistema io_uring para tales operaciones. La mayor\u00eda de los sistemas comerciales de detecci\u00f3n y respuesta a incidentes de seguridad disponibles para Linux tambi\u00e9n se basa en la intercepci\u00f3n de llamadas al sistema. <\/p>\n

Para evitar la elusi\u00f3n de las herramientas de seguimiento de la actividad de red y de archivos, se recomienda utilizar el mecanismo KRSI (Kernel Runtime Security Instrumentation) en lugar de interceptar llamadas al sistema, el cual apareci\u00f3 en el n\u00facleo de Linux 5.7 y permite adjuntar programas BPF a cualquier gancho LSM. Por ejemplo, KRSI a nivel de los ganchos LSM permite rastrear operaciones con archivos, acceso a la red y ejecuci\u00f3n de procesos, independientemente de si estas operaciones son iniciadas a trav\u00e9s de llamadas al sistema espec\u00edficas o mediante io_uring. <\/p>\n

Anteriormente, el subsistema io_uring fue objeto de cr\u00edticas debido a la aparici\u00f3n peri\u00f3dica de vulnerabilidades graves. En respuesta a las solicitudes de los usuarios que deseaban una herramienta simple para desactivar io_uring sin recompilar el n\u00facleo, se a\u00f1adi\u00f3 en el n\u00facleo de Linux 6.6 el sysctl io_uring_disabled. Google, por defecto, desactiv\u00f3 io_uring en ChromeOS, Android y en sus como en entornos de nube p\u00fablicos o privados.<\/a>, explicando que la lamentable situaci\u00f3n de seguridad en io_uring supera las ventajas de usar io_uring para mejorar el rendimiento.
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0412\u043c\u0435\u0441\u0442\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0430\u0441\u0438\u043d\u0445\u0440\u043e\u043d\u043d\u043e\u0433\u043e \u0432\u0432\u043e\u0434\u0430\/\u0432\u044b\u0432\u043e\u0434\u0430 io_uring, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u044f\u0434\u0440\u0430 Linux 5.1. \u0421\u0443\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123647","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Prototipo de rootkit para Linux que utiliza io_uring para eludir los analizadores de llamadas al sistema | ProHoster","description":"Investigadores de la empresa ARMO demostraron la posibilidad de crear rootkits que no utilizan llamadas al sistema espec\u00edficas para llevar a cabo operaciones t\u00edpicas como la lectura\/escritura de archivos y la recepci\u00f3n de comandos desde el exterior.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0442\u043e\u0442\u0438\u043f \u0440\u0443\u0442\u043a\u0438\u0442\u0430 \u0434\u043b\u044f Linux, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0439 io_uring \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-04-25T01:05:14+00:00","article:modified_time":"2025-04-25T01:05:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123647","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-22 15:51:24","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 12:28:22","updated":"2026-02-22 15:51:24","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=123647"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123647\/revisions"}],"predecessor-version":[{"id":164451,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123647\/revisions\/164451"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=123647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=123647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=123647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}