{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Il progetto Singularity sviluppa un rootkit open-source che bypassa SELinux, Netfilter, LKRG e eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, ricercatore di sicurezza specializzato in malware, ha pubblicato un aggiornamento del progetto Singularity, che sviluppa un rootkit open source per il kernel Linux, distribuito sotto licenza MIT. L'obiettivo del progetto \u00e8 dimostrare metodologie per nascondere la propria presenza dopo aver ottenuto l'accesso root e mantenere la possibilit\u00e0 di eseguire operazioni privilegiate in modo furtivo. Si prevede che Singularity possa essere utile per i ricercatori di sicurezza per testare e sviluppare strumenti di rilevamento e blocco dei rootkit. <\/p>\n
Il rootkit \u00e8 progettato come un modulo per i kernel Linux 6.x e utilizza il meccanismo ftrace per intercettare invisibilmente le chiamate di sistema senza modificare i punti di ingresso delle chiamate di sistema e senza alterare le funzioni del kernel. Singularity supporta il nascondere la propria presenza nel sistema, cos\u00ec come nascondere i processi specificati dall'attaccante e i file e le attivit\u00e0 di rete ad essi correlati. Per comodit\u00e0 dei ricercatori, la funzionalit\u00e0 del rootkit \u00e8 suddivisa in moduli. <\/p>\n
Oltre ai metodi tipici di mascheramento della presenza nel sistema, come il nascondere processi, file, directory e moduli del kernel, Singularity implementa diverse tecniche avanzate per eludere i meccanismi di protezione e rendere difficile il rilevamento da parte di scanner specializzati per rootkit, come Falco, ghostscan, tracee, unhide, chkrootkit e rkhunter. Tra le altre cose, Singularity pu\u00f2 nascondere la propria attivit\u00e0 da strumenti che utilizzano eBPF, rimuovere i blocchi eBPF, impedire il caricamento di moduli del kernel, contrastare l'analisi dell'I\/O tramite il sottosistema io_uring, nonch\u00e9 eludere i controlli di integrit\u00e0 effettuati dal modulo LKRG (Linux Kernel Runtime Guard). <\/p>\n
In Singularity \u00e8 presente una reverse shell che fornisce accesso remoto privilegiato al sistema tramite l'invio di pacchetti ICMP, oltre a gestori che consentono di nascondere processi o aumentare i privilegi nel sistema mediante determinate manipolazioni di segnali e variabili d'ambiente. Ad esempio, per nascondere un processo da \/proc e dalle uscite di utility come ps, si pu\u00f2 eseguire \"kill -59 PID_del_processo\", mentre per aumentare i privilegi si pu\u00f2 impostare la variabile d'ambiente \"MAGIC=mtz\". <\/p>\n
Il rootkit nasconde il traffico della reverse shell dagli analizzatori di rete e consente di eludere i gestori SELinux che si attivano su ICMP. Singularity include anche funzionalit\u00e0 per nascondere determinate connessioni di rete dalle tabelle \/proc\/net\/nf_conntrack, dai gestori netlink SOCK_DIAG\/NETFILTER e da strumenti come netstat, ss, lsof, tcpdump e wireshark. Sono disponibili gestori per pulire i messaggi di audit e l'output nei log (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Ci sono filtri per contrastare gli analizzatori di memoria, come Volatility, che utilizzano \/proc\/kcore, \/proc\/kallsyms e \/proc\/vmallocinfo, e anche funzionalit\u00e0 di filtraggio per l'accesso diretto ai dispositivi a blocchi per prevenire l'analisi a basso livello del contenuto del FS.
![\"Riproduci](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n