{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Il progetto Singularity sviluppa un rootkit aperto, che bypassa SELinux, Netfilter, LKRG e eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, ricercatore di sicurezza specializzato in malware, ha pubblicato un aggiornamento del progetto Singularity, che sviluppa un rootkit open-source per il kernel Linux, distribuito con licenza MIT. L'obiettivo del progetto \u00e8 dimostrare metodi per nascondere la propria presenza dopo aver ottenuto l'accesso root e mantenere la possibilit\u00e0 di eseguire operazioni privilegiate in modo nascosto. Singularity dovrebbe essere utile agli esperti di sicurezza per testare e sviluppare strumenti per l'individuazione e il blocco dei rootkit. <\/p>\n
Il rootkit \u00e8 realizzato come un modulo per i kernel Linux 6.x e utilizza il meccanismo ftrace per intercettare silenziosamente le chiamate di sistema senza modificare i punti d'ingresso delle chiamate di sistema e senza alterare le funzioni del kernel. Singularity supporta la propria occultazione nel sistema, cos\u00ec come quella dei processi e dei file associati agli attaccanti, e delle attivit\u00e0 di rete. Per facilitare il lavoro degli studiosi, la funzionalit\u00e0 del rootkit \u00e8 suddivisa in moduli. <\/p>\n
Oltre ai metodi tipici di mascheramento della presenza nel sistema, come l'occultamento di processi, file, directory e moduli del kernel, Singularity implementa diversi metodi avanzati per eludere i meccanismi di protezione e rendere difficile il rilevamento da parte di scanner di rootkit specializzati, come Falco, ghostscan, tracee, unhide, chkrootkit e rkhunter. Tra l'altro, Singularity pu\u00f2 nascondere la propria attivit\u00e0 da strumenti che utilizzano eBPF, rimuovere i blocchi eBPF, ostacolare il caricamento di moduli del kernel, contrastare l'analisi I\/O attraverso la sottosistema io_uring, e pertanto bypassare i controlli di integrit\u00e0 eseguiti dal modulo LKRG (Linux Kernel Runtime Guard). <\/p>\n
In Singularity \u00e8 presente una reverse shell che fornisce accesso remoto privilegiato al sistema tramite l'invio di pacchetti ICMP, oltre a gestori che consentono di nascondere processi o di ottenere privilegi elevati nel sistema attraverso determinate manipolazioni con segnali e variabili d'ambiente. Ad esempio, per nascondere un processo da \/proc e dai comandi di utilit\u00e0 come ps, \u00e8 possibile eseguire \"kill -59 PID_del_processo\", e per ottenere privilegi elevati si pu\u00f2 impostare la variabile d'ambiente \"MAGIC=mtz\". <\/p>\n
Il rootkit nasconde il traffico reverse shell dagli analizzatori di rete e consente di eludere i gestori di SELinux attivati dall'ICMP. Singularity include anche funzionalit\u00e0 per nascondere determinate connessioni di rete dalle tabelle \/proc\/net\/nf_conntrack, dai gestori netlink SOCK_DIAG\/NETFILTER e da strumenti come netstat, ss, lsof, tcpdump e wireshark. Sono disponibili gestori per ripulire i messaggi di audit e l'output nei log (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Sono presenti filtri per contrastare gli analizzatori di memoria come Volatility, utilizzando \/proc\/kcore, \/proc\/kallsyms e \/proc\/vmallocinfo, e funzionalit\u00e0 di filtraggio per l'accesso diretto ai dispositivi a blocchi per prevenire un'analisi a basso livello del contenuto del FS.
![\"Guarda](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n