{"id":123647,"date":"2025-04-25T03:05:14","date_gmt":"2025-04-25T01:05:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov"},"modified":"2025-04-25T03:05:14","modified_gmt":"2025-04-25T01:05:14","slug":"prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","title":{"rendered":"Prototyp rootkita dla Linuksa wykorzystuj\u0105cy io_uring do omijania analizator\u00f3w wywo\u0142a\u0144 systemowych","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze z firmy ARMO zaprezentowali mo\u017cliwo\u015b\u0107 tworzenia rootkit\u00f3w, kt\u00f3re nie wykorzystuj\u0105 specyficznych wywo\u0142a\u0144 systemowych do wykonywania typowych operacji, takich jak odczyt\/zapis plik\u00f3w i odbi\u00f3r polece\u0144 z zewn\u0119trznego serwera. Zamiast wywo\u0142a\u0144 systemowych do przeprowadzania operacji sieciowych i plikowych zaproponowano u\u017cycie interfejsu asynchronicznego wej\u015bcia\/wyj\u015bcia io_uring, wspieranego od j\u0105dra Linux 5.1. <\/p>\n

Istota metody polega na tym, \u017ce zamiast oddzielnych wywo\u0142a\u0144 systemowych do uzyskiwania dost\u0119pu do plik\u00f3w i przeprowadzania operacji sieciowych (read\/write, recv\/send\/connect\/bind\/listen) mo\u017cna korzysta\u0107 z og\u00f3lnych wywo\u0142a\u0144 systemowych io_uring (io_uring_enter, io_uring_setup, io_uring_register itd.), kt\u00f3re nie s\u0105 analizowane przez typowe narz\u0119dzia w celu wykrycia z\u0142o\u015bliwej aktywno\u015bci. Interfejs io_uring wspiera oko\u0142o 60 r\u00f3\u017cnych operacji. W trakcie rozwoju znajduje si\u0119 mo\u017cliwo\u015b\u0107 pozwalaj\u0105ca na uruchamianie nowych proces\u00f3w przez io_uring. <\/p>\n

Aby zademonstrowa\u0107 dzia\u0142anie metody, przygotowano prototyp rootkita Curing, kt\u00f3ry wykonuje takie dzia\u0142ania, jak odbieranie polece\u0144 z zewn\u0119trznego serwera<\/a> i przesy\u0142anie\/zmiana plik\u00f3w. W demonstracji u\u017cyto wysy\u0142ania \u017c\u0105dania na port TCP 8888 zewn\u0119trznego hosta oraz przesy\u0142ania zawarto\u015bci pliku \u201e\/etc\/shadow\u201d. Zak\u0142ada si\u0119, \u017ce po udanej kompromitacji systemu i uzyskaniu uprawnie\u0144 root, atakuj\u0105cy instaluje rootkit w celu utrwalenia swojej obecno\u015bci w zhakowanym systemie. <\/p>\n

W przeprowadzonym eksperymencie aktywno\u015b\u0107 rootkita Curing nie zosta\u0142a zauwa\u017cona przez narz\u0119dzia monitoruj\u0105ce Falco i Tetragon, stosowane do identyfikacji zwi\u0105zanych z bezpiecze\u0144stwem anomalii na hostach i w kontenerach (wspierana jest integracja z infrastruktur\u0105 opart\u0105 na Kubernetes). Wspomniane narz\u0119dzia wykorzystuj\u0105 przechwytywanie wywo\u0142a\u0144 systemowych do analizy takich zdarze\u0144, jak uruchamianie proces\u00f3w, aktywno\u015b\u0107 sieciowa i operacje na plikach, ale nie uwzgl\u0119dniaj\u0105 mo\u017cliwo\u015bci korzystania z podsystemu io_uring do podobnych operacji. Wi\u0119kszo\u015b\u0107 dost\u0119pnych na Linux komercyjnych system\u00f3w wykrywania i reagowania na incydenty bezpiecze\u0144stwa opiera si\u0119 r\u00f3wnie\u017c na przechwytywaniu wywo\u0142a\u0144 systemowych. <\/p>\n

Aby wykluczy\u0107 omijanie narz\u0119dzi do monitorowania sieciowej i plikowej aktywno\u015bci, zamiast przechwytywania wywo\u0142a\u0144 systemowych zaleca si\u0119 wykorzystanie mechanizmu KRSI (Kernel Runtime Security Instrumentation), kt\u00f3ry pojawi\u0142 si\u0119 w j\u0105drze Linux 5.7 i umo\u017cliwia przywi\u0105zanie program\u00f3w BPF do dowolnych hak\u00f3w LSM. Na przyk\u0142ad, KRSI na poziomie hak\u00f3w LSM umo\u017cliwia \u015bledzenie operacji na plikach, dost\u0119pu do sieci oraz uruchamiania proces\u00f3w, niezale\u017cnie od tego, czy operacje te s\u0105 inicjowane za pomoc\u0105 specyficznych wywo\u0142a\u0144 systemowych, czy za pomoc\u0105 io_uring. <\/p>\n

Wcze\u015bniej podsystem io_uring by\u0142 obiektem krytyki z powodu regularnie pojawiaj\u0105cych si\u0119 powa\u017cnych podatno\u015bci. W odpowiedzi na pro\u015bby u\u017cytkownik\u00f3w, kt\u00f3rzy chcieli prostego narz\u0119dzia do wy\u0142\u0105czania io_uring bez rekompilacji j\u0105dra, w j\u0105dro Linux 6.6 dodano sysctl io_uring_disabled. Firma Google domy\u015blnie wy\u0142\u0105czy\u0142a io_uring w ChromeOS, Androidzie i na swoich serwerach<\/a>, t\u0142umacz\u0105c, \u017ce z\u0142a sytuacja z bezpiecze\u0144stwem w io_uring przewa\u017ca nad korzy\u015bciami z jego zastosowania w celu zwi\u0119kszenia wydajno\u015bci.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e \u0441\u0435\u0440\u0432\u0435\u0440\u0430. \u0412\u043c\u0435\u0441\u0442\u043e \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438 \u0444\u0430\u0439\u043b\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 \u0430\u0441\u0438\u043d\u0445\u0440\u043e\u043d\u043d\u043e\u0433\u043e \u0432\u0432\u043e\u0434\u0430\/\u0432\u044b\u0432\u043e\u0434\u0430 io_uring, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043d\u0430\u0447\u0438\u043d\u0430\u044f \u0441 \u044f\u0434\u0440\u0430 Linux 5.1. \u0421\u0443\u0442\u044c \u043c\u0435\u0442\u043e\u0434\u0430 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e \u0432\u043c\u0435\u0441\u0442\u043e \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u044b\u0445 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123647","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Prototyp rootkita dla Linuksa, u\u017cywaj\u0105cego io_uring do omijania analizator\u00f3w wywo\u0142a\u0144 systemowych | ProHoster","description":"Badacze z firmy ARMO zaprezentowali mo\u017cliwo\u015b\u0107 tworzenia rootkit\u00f3w, kt\u00f3re nie wykorzystuj\u0105 specyficznych wywo\u0142a\u0144 systemowych do wykonywania typowych operacji, takich jak czytanie\/zapisywanie plik\u00f3w oraz przyjmowanie polece\u0144 z zewn\u0105trz.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0442\u043e\u0442\u0438\u043f \u0440\u0443\u0442\u043a\u0438\u0442\u0430 \u0434\u043b\u044f Linux, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0439 io_uring \u0434\u043b\u044f \u043e\u0431\u0445\u043e\u0434\u0430 \u0430\u043d\u0430\u043b\u0438\u0437\u0430\u0442\u043e\u0440\u043e\u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0445 \u0432\u044b\u0437\u043e\u0432\u043e\u0432 | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ARMO \u043f\u0440\u043e\u0434\u0435\u043c\u043e\u043d\u0441\u0442\u0440\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0440\u0443\u0442\u043a\u0438\u0442\u043e\u0432, \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0449\u0438\u0445 \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b\u0435 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u0442\u0438\u043f\u043e\u0432\u044b\u0445 \u043e\u043f\u0435\u0440\u0430\u0446\u0438\u0439, \u0442\u0430\u043a\u0438\u0445 \u043a\u0430\u043a \u0447\u0442\u0435\u043d\u0438\u0435\/\u0437\u0430\u043f\u0438\u0441\u044c \u0444\u0430\u0439\u043b\u043e\u0432 \u0438 \u043f\u0440\u0438\u0451\u043c \u043a\u043e\u043c\u0430\u043d\u0434 \u043e\u0442 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/prototip-rutkita-dlya-linux-ispolzuyushhij-io_uring-dlya-obhoda-analizatorov-sistemnyh-vyzovov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-04-25T01:05:14+00:00","article:modified_time":"2025-04-25T01:05:14+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123647","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-22 15:51:24","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 12:28:22","updated":"2026-02-22 15:51:24","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123647","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=123647"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123647\/revisions"}],"predecessor-version":[{"id":164451,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/123647\/revisions\/164451"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=123647"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=123647"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=123647"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}