{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Le projet Singularity d\u00e9veloppe un rootkit open source qui contourne SELinux, Netfilter, LKRG et eBPF.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, chercheur en s\u00e9curit\u00e9 sp\u00e9cialis\u00e9 dans les logiciels malveillants, a publi\u00e9 une mise \u00e0 jour sur le projet Singularity, qui d\u00e9veloppe un rootkit open source pour le noyau Linux, distribu\u00e9 sous licence MIT. L'objectif du projet est de d\u00e9montrer des m\u00e9thodes permettant de dissimuler sa pr\u00e9sence apr\u00e8s avoir obtenu un acc\u00e8s root et de maintenir la capacit\u00e9 d'ex\u00e9cution furtive d'op\u00e9rations privil\u00e9gi\u00e9es. Il est suppos\u00e9 que Singularity pourrait \u00eatre utile aux chercheurs en s\u00e9curit\u00e9 pour tester et d\u00e9velopper des outils de d\u00e9tection et de blocage des rootkits. <\/p>\n
Le rootkit se pr\u00e9sente sous la forme d'un module pour les noyaux Linux 6.x et utilise le m\u00e9canisme ftrace pour intercepter discr\u00e8tement les appels syst\u00e8me sans modifier les points d'entr\u00e9e des appels syst\u00e8me ni les fonctions du noyau. Singularity prend en charge la dissimulation de sa pr\u00e9sence dans le syst\u00e8me, ainsi que celle des processus sp\u00e9cifi\u00e9s par l'attaquant, des fichiers associ\u00e9s et de l'activit\u00e9 r\u00e9seau. Pour la commodit\u00e9 des chercheurs, les fonctionnalit\u00e9s du rootkit sont divis\u00e9es en modules. <\/p>\n
En plus des m\u00e9thodes classiques de camouflage de la pr\u00e9sence dans le syst\u00e8me, telles que la dissimulation des processus, fichiers, r\u00e9pertoires et modules du noyau n\u00e9cessaires, Singularity impl\u00e9mente plusieurs m\u00e9thodes avanc\u00e9es pour contourner les m\u00e9canismes de protection et compliquer la d\u00e9tection par des scanners de rootkits sp\u00e9cialis\u00e9s tels que Falco, ghostscan, tracee, unhide, chkrootkit et rkhunter. Entre autres, Singularity peut dissimuler ses activit\u00e9s des outils utilisant eBPF, supprimer les blocages eBPF, emp\u00eacher le chargement de modules du noyau, r\u00e9sister \u00e0 l'analyse d'E\/S via la sous-syst\u00e8me io_uring, et contourner les v\u00e9rifications d'int\u00e9grit\u00e9 effectu\u00e9es par le module LKRG (Linux Kernel Runtime Guard). <\/p>\n
Dans Singularity, il y a un shell inverse qui fournit un acc\u00e8s distant privil\u00e9gi\u00e9 au syst\u00e8me via l'envoi de paquets ICMP, ainsi que des gestionnaires permettant de masquer des processus ou d'augmenter les privil\u00e8ges dans le syst\u00e8me par certaines manipulations avec des signaux et des variables d'environnement. Par exemple, pour masquer un processus de \/proc et des sorties d'outils tels que ps, on peut ex\u00e9cuter \u00ab kill -59 PID_processus \u00bb, et pour \u00e9lever les privil\u00e8ges, on peut d\u00e9finir la variable d'environnement \u00ab MAGIC=mtz \u00bb. <\/p>\n
Le rootkit cache le trafic reverse shell des analyseurs r\u00e9seau et permet de contourner les gestionnaires SELinux qui se d\u00e9clenchent sur ICMP. Singularity inclut \u00e9galement des capacit\u00e9s pour cacher certaines connexions r\u00e9seau des tableaux \/proc\/net\/nf_conntrack, des gestionnaires netlink SOCK_DIAG\/NETFILTER et des utilitaires tels que netstat, ss, lsof, tcpdump et wireshark. Des gestionnaires sont disponibles pour nettoyer les messages d'audit et les sorties dans les journaux (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Il existe des filtres pour contrer les analyseurs de m\u00e9moire, tels que Volatility, utilisant \/proc\/kcore, \/proc\/kallsyms et \/proc\/vmallocinfo, ainsi que des capacit\u00e9s de filtrage pour l'acc\u00e8s direct aux p\u00e9riph\u00e9riques de bloc afin de pr\u00e9venir l'analyse de bas niveau du contenu du syst\u00e8me de fichiers.
![\"Lire](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n