I ricercatori di Gen Threat Labs hanno individuato un nuovo complesso rootkit chiamato Snapekit, che prende di mira il sistema Arch Linux versione 6.10.2-arch1-1 su architettura x86_64. Snapekit consente agli attaccanti di ottenere accesso non autorizzato al sistema e di gestirlo, rimanendo al contempo inosservato.
Il rootkit si integra nel funzionamento del sistema operativo, intercettando e modificando 21 chiamate di sistema — il meccanismo di comunicazione tra le applicazioni e il kernel del sistema operativo. Snapekit utilizza un dropper speciale per il deployment. Il rootkit è in grado di riconoscere ed evitare strumenti di analisi e debug comuni, come Cuckoo Sandbox, JoeSandbox, Hybrid-Analysis, Frida, Ghidra e IDA Pro. Quando rileva uno di questi strumenti, Snapekit modifica il proprio comportamento per eludere l'individuazione.
L'obiettivo principale di Snapekit è nascondere il codice malevolo rimanendo nello spazio utente, piuttosto che nel più controllato spazio del kernel. Questo approccio complica notevolmente l'individuazione e l'analisi della minaccia. Inoltre, il rootkit applica meccanismi di protezione PTrace per rilevare tentativi di debugging, aggiungendo ulteriori difficoltà per analisti e professionisti della sicurezza informatica.
Snapekit possiede mezzi di evasione multilivello che consentono di evitare non solo strumenti di analisi automatizzati (sandbox e di macchine virtuali), ma rendono anche complicata l'analisi manuale. Il creatore del rootkit, noto con il nickname Humzak711, prevede di pubblicare a breve il progetto Snapekit con codice sorgente aperto su GitHub.
Fonte: linux.org.ru
