I ricercatori di Gen Threat Labs hanno identificato un nuovo e complesso rootkit chiamato Snapekit, che prende di mira il sistema Arch Linux versione 6.10.2-arch1-1 su architettura x86_64. Snapekit consente agli aggressori di ottenere accesso non autorizzato al sistema e di controllarlo, rimanendo inosservati.
Il rootkit si integra nel funzionamento del sistema operativo, intercettando e modificando 21 chiamate di sistema — il meccanismo di comunicazione tra le applicazioni e il kernel del sistema operativo. Snapekit utilizza un dropper speciale per il deployment. Il rootkit è in grado di riconoscere ed evitare strumenti di analisi e debugging popolari, come Cuckoo Sandbox, JoeSandbox, Hybrid-Analysis, Frida, Ghidra e IDA Pro. Quando uno di questi strumenti viene rilevato, Snapekit cambia il proprio comportamento per evitare di essere scoperto.
L'obiettivo principale di Snapekit è nascondere il codice dannoso, rimanendo nello spazio utente, piuttosto che in uno spazio di controllo più rigoroso del kernel. Questo approccio rende notevolmente più difficile la rilevazione e l'analisi della minaccia. Inoltre, il rootkit applica meccanismi di protezione PTrace per rilevare tentativi di debugging, complicando ulteriormente il lavoro per gli analisti e gli specialisti della sicurezza informatica.
Snapekit dispone di mezzi di evasione multilivello, che consentono di evitare non solo strumenti di analisi automatizzati (sandbox e macchine virtuali), ma rendono anche difficile l'analisi manuale. Il creatore del rootkit, noto con il nickname Humzak711, prevede di rilasciare a breve il progetto Snapekit come open source su GitHub.
Fonte: linux.org.ru
