{"id":123647,"date":"2025-04-25T03:05:14","date_gmt":"2025-04-25T01:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov"},"modified":"2025-04-25T03:05:14","modified_gmt":"2025-04-25T01:05:14","slug":"prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","title":{"rendered":"Prototype de rootkit pour Linux utilisant io_uring pour contourner les analyseurs d'appels syst\u00e8me","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs de la soci\u00e9t\u00e9 ARMO ont d\u00e9montr\u00e9 la possibilit\u00e9 de cr\u00e9er des rootkits n'utilisant pas d'appels syst\u00e8me sp\u00e9cifiques pour effectuer des op\u00e9rations typiques, telles que la lecture\/\u00e9criture de fichiers et la r\u00e9ception de commandes d'un serveur externe. Au lieu des appels syst\u00e8me pour r\u00e9aliser des op\u00e9rations r\u00e9seau et fichiers, il est propos\u00e9 d'utiliser l'interface d'entr\u00e9e\/sortie asynchrone io_uring, prise en charge depuis le noyau Linux 5.1. <\/p>\n

Le principe de la m\u00e9thode est que, plut\u00f4t que d'effectuer des appels syst\u00e8me distincts pour acc\u00e9der aux fichiers et effectuer des op\u00e9rations r\u00e9seau (read\/write, recv\/send\/connect\/bind\/listen), on peut utiliser les appels syst\u00e8me g\u00e9n\u00e9raux io_uring (io_uring_enter, io_uring_setup, io_uring_register, etc.) qui ne sont pas analys\u00e9s par les outils standards pour d\u00e9tecter les activit\u00e9s malveillantes. L'interface io_uring prend en charge environ 60 op\u00e9rations diff\u00e9rentes. Une fonctionnalit\u00e9 permettant de lancer de nouveaux processus via io_uring est en cours de d\u00e9veloppement. <\/p>\n

Pour d\u00e9montrer le fonctionnement de la m\u00e9thode, un prototype de rootkit nomm\u00e9 Curing a \u00e9t\u00e9 pr\u00e9par\u00e9, ex\u00e9cutant des actions telles que la r\u00e9ception de commandes d'un h\u00f4te externe de serveurs<\/a> et le transfert\/changement de fichiers. La d\u00e9monstration a utilis\u00e9 l'envoi d'une requ\u00eate sur le port TCP 8888 d'un h\u00f4te externe et l'envoi du contenu du fichier \u00ab\/etc\/shadow\u00bb. On suppose qu'apr\u00e8s une compromission r\u00e9ussie du syst\u00e8me et l'obtention des droits root, l'attaquant installe un rootkit pour consolider sa pr\u00e9sence sur le syst\u00e8me compromis. <\/p>\n

Dans l'exp\u00e9rience r\u00e9alis\u00e9e, l'activit\u00e9 du rootkit Curing n'a pas \u00e9t\u00e9 d\u00e9tect\u00e9e par les outils de surveillance Falco et Tetragon, utilis\u00e9s pour identifier les anomalies li\u00e9es \u00e0 la s\u00e9curit\u00e9 sur les h\u00f4tes et dans les conteneurs (une int\u00e9gration avec une infrastructure bas\u00e9e sur Kubernetes est prise en charge). Ces outils utilisent l'interception des appels syst\u00e8me pour analyser des \u00e9v\u00e9nements tels que le lancement de processus, l'activit\u00e9 r\u00e9seau et la manipulation de fichiers, mais ne tiennent pas compte de la possibilit\u00e9 d'utiliser la sous-syst\u00e8me io_uring pour de telles op\u00e9rations. La plupart des syst\u00e8mes commerciaux de d\u00e9tection et de r\u00e9ponse aux incidents de s\u00e9curit\u00e9 disponibles pour Linux s'appuient \u00e9galement sur l'interception des appels syst\u00e8me. <\/p>\n

Pour \u00e9viter de contourner les outils de suivi de l'activit\u00e9 r\u00e9seau et des fichiers, il est recommand\u00e9 d'utiliser le m\u00e9canisme KRSI (Kernel Runtime Security Instrumentation), introduit dans le noyau Linux 5.7, qui permet de lier des programmes BPF \u00e0 n'importe quel hook LSM. Par exemple, KRSI au niveau des hooks LSM permet de suivre les op\u00e9rations sur les fichiers, l'acc\u00e8s r\u00e9seau et le lancement de processus, peu importe si ces op\u00e9rations ont \u00e9t\u00e9 initi\u00e9es par des appels syst\u00e8mes sp\u00e9cifiques ou via io_uring. <\/p>\n

Auparavant, la sous-syst\u00e8me io_uring avait \u00e9t\u00e9 critiqu\u00e9 en raison de vuln\u00e9rabilit\u00e9s s\u00e9rieuses r\u00e9guli\u00e8rement d\u00e9couvertes. En r\u00e9ponse aux demandes des utilisateurs souhaitant un outil simple pour d\u00e9sactiver io_uring sans reconstruire le noyau, la version 6.6 du noyau Linux a introduit le sysctl io_uring_disabled. Google a par d\u00e9faut d\u00e9sactiv\u00e9 io_uring dans ChromeOS, Android et sur ses serveurs<\/a>, expliquant que la situation d\u00e9sastreuse de la s\u00e9curit\u00e9 dans io_uring l'emporte sur les avantages d'utilisation d'io_uring pour am\u00e9liorer les performances.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0412\u043c\u0435\u0441\u0442\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0430\u0441\u0438\u043d\u0445\u0440\u043e\u043d\u043d\u043e\u0433\u043e \u0432\u0432\u043e\u0434\u0430\/\u0432\u044b\u0432\u043e\u0434\u0430 io_uring, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u044f\u0434\u0440\u0430 Linux 5.1. \u0421\u0443\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123647","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Prototype de rootkit pour Linux utilisant io_uring pour contourner les analyseurs d'appels syst\u00e8mes | ProHoster","description":"Des chercheurs de la soci\u00e9t\u00e9 ARMO ont d\u00e9montr\u00e9 la possibilit\u00e9 de cr\u00e9er des rootkits ne n\u00e9cessitant pas d'appels syst\u00e8mes sp\u00e9cifiques pour r\u00e9aliser des op\u00e9rations courantes, telles que la lecture\/\u00e9criture de fichiers et la r\u00e9ception de commandes externes.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0442\u043e\u0442\u0438\u043f \u0440\u0443\u0442\u043a\u0438\u0442\u0430 \u0434\u043b\u044f Linux, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0439 io_uring \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-04-25T01:05:14+00:00","article:modified_time":"2025-04-25T01:05:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123647","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-22 15:51:24","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 12:28:22","updated":"2026-02-22 15:51:24","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=123647"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123647\/revisions"}],"predecessor-version":[{"id":164451,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/123647\/revisions\/164451"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=123647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=123647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=123647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}