{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"El proyecto Singularity desarrolla un rootkit abierto que elude SELinux, Netfilter, LKRG y eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, investigador de seguridad especializado en malware, public\u00f3 una actualizaci\u00f3n del proyecto Singularity, que desarrolla un rootkit abierto para el n\u00facleo de Linux, distribuido bajo la licencia MIT. El objetivo del proyecto es demostrar m\u00e9todos para ocultar su presencia despu\u00e9s de obtener acceso root y mantener la capacidad de realizar operaciones privilegiadas de forma oculta. Se espera que Singularity sea \u00fatil para investigadores de seguridad en la prueba y desarrollo de herramientas para detectar y bloquear rootkits. <\/p>\n
El rootkit est\u00e1 dise\u00f1ado como un m\u00f3dulo para n\u00facleos de Linux 6.x y utiliza el mecanismo ftrace para interceptar llamadas al sistema de manera discreta, sin modificar los puntos de entrada de las llamadas al sistema y sin alterar las funciones del n\u00facleo. Singularity admite ocultar su presencia en el sistema, as\u00ed como ocultar los procesos que los atacantes designan y los archivos y actividades de red asociados. Para la comodidad de los investigadores, la funcionalidad del rootkit se divide en m\u00f3dulos. <\/p>\n
Adem\u00e1s de los m\u00e9todos t\u00edpicos para ocultar la presencia en el sistema, como ocultar procesos, archivos, directorios y m\u00f3dulos del n\u00facleo necesarios, Singularity implementa varios m\u00e9todos avanzados para eludir mecanismos de protecci\u00f3n y dificultar la detecci\u00f3n por esc\u00e1neres de rootkits especializados, como Falco, ghostscan, tracee, unhide, chkrootkit y rkhunter. Entre otras cosas, Singularity puede ocultar su actividad de herramientas que utilizan eBPF, eliminar bloqueos de eBPF, prevenir la carga de m\u00f3dulos del n\u00facleo, resistir el an\u00e1lisis de entrada\/salida a trav\u00e9s del subsistema io_uring, as\u00ed como eludir verificaciones de integridad realizadas por el m\u00f3dulo LKRG (Linux Kernel Runtime Guard). <\/p>\n
En Singularity hay un reverse shell que proporciona acceso remoto privilegiado al sistema mediante el env\u00edo de paquetes ICMP, as\u00ed como controladores que permiten ocultar procesos o elevar privilegios en el sistema a trav\u00e9s de ciertas manipulaciones de se\u00f1ales y variables de entorno. Por ejemplo, para ocultar un proceso de \/proc y de utilidades como ps, se puede ejecutar \"kill -59 PID_del_proceso\", y para elevar privilegios se debe establecer la variable de entorno \"MAGIC=mtz\". <\/p>\n
El rootkit oculta el tr\u00e1fico reverse shell de los analizadores de red y permite evadir los manejadores de SELinux que se activan con ICMP. Singularity tambi\u00e9n incluye capacidades para ocultar ciertas conexiones de red de las tablas \/proc\/net\/nf_conntrack, manejadores netlink SOCK_DIAG\/NETFILTER y herramientas como netstat, ss, lsof, tcpdump y wireshark. Hay manejadores disponibles para limpiar mensajes de auditor\u00eda y registros (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Existen filtros para contrarrestar analizadores de memoria como Volatility, que utilizan \/proc\/kcore, \/proc\/kallsyms y \/proc\/vmallocinfo, as\u00ed como capacidades de filtrado para evitar el acceso directo a dispositivos de bloques y prevenir el an\u00e1lisis a bajo nivel del contenido del sistema de archivos.
![\"Reproducir](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n