Matheus Alves, badawcza bezpiecze\u0144stwa specjalizuj\u0105cy si\u0119 w z\u0142o\u015bliwym oprogramowaniu, opublikowa\u0142 aktualizacj\u0119 projektu Singularity, rozwijaj\u0105cego otwarty rootkit dla j\u0105dra Linux, dystrybuowany na licencji MIT. Celem projektu jest demonstracja metod umo\u017cliwiaj\u0105cych ukrycie swojej obecno\u015bci po uzyskaniu dost\u0119pu root i zachowanie mo\u017cliwo\u015bci ukrytego wykonywania operacji z uprawnieniami. Zak\u0142ada si\u0119, \u017ce Singularity mo\u017ce by\u0107 u\u017cyteczne dla badaczy bezpiecze\u0144stwa do testowania i opracowywania narz\u0119dzi do wykrywania i blokowania rootkit\u00f3w. <\/p>\n
Rootkit jest zrealizowany jako modu\u0142 dla j\u0105der Linux 6.x i wykorzystuje mechanizm ftrace do dyskretnego przechwytywania wywo\u0142a\u0144 systemowych bez zmiany punkt\u00f3w wej\u015bcia w wywo\u0142ania systemowe i bez modyfikacji funkcji j\u0105dra. Singularity wspiera ukrywanie swojej obecno\u015bci w systemie, a tak\u017ce ukrywanie proces\u00f3w wyznaczonych przez atakuj\u0105cego oraz powi\u0105zanych z nimi plik\u00f3w i aktywno\u015bci sieciowej. Dla wygody badaczy funkcjonalno\u015b\u0107 rootkita podzielona jest na modu\u0142y. <\/p>\n
Opr\u00f3cz standardowych metod maskowania obecno\u015bci w systemie, takich jak ukrywanie potrzebnych proces\u00f3w, plik\u00f3w, katalog\u00f3w i modu\u0142\u00f3w j\u0105dra, w Singularity zrealizowano kilka zaawansowanych metod omijania mechanizm\u00f3w ochrony i utrudniania wykrywania specjalistycznymi skanerami rootkit\u00f3w, takimi jak Falco, ghostscan, tracee, unhide, chkrootkit i rkhunter. Singularity mo\u017ce mi\u0119dzy innymi ukrywa\u0107 swoj\u0105 aktywno\u015b\u0107 przed narz\u0119dziami korzystaj\u0105cymi z eBPF, usuwa\u0107 blokady eBPF, przeciwdzia\u0142a\u0107 \u0142adowaniu modu\u0142\u00f3w j\u0105dra, stawia\u0107 op\u00f3r analizie wej\u015bcia\/wyj\u015bcia przez podsystem io_uring oraz omija\u0107 kontrole integralno\u015bci wykonywane przez modu\u0142 LKRG (Linux Kernel Runtime Guard). <\/p>\n
W Singularity znajduje si\u0119 reverse shell, kt\u00f3ry zapewnia uprzywilejowany, zdalny dost\u0119p do systemu za pomoc\u0105 wysy\u0142ania pakiet\u00f3w ICMP, a tak\u017ce handler\u00f3w, kt\u00f3re umo\u017cliwiaj\u0105 ukrycie proces\u00f3w lub podniesienie uprawnie\u0144 w systemie poprzez okre\u015blone manipulacje sygna\u0142ami i zmiennymi \u015brodowiskowymi. Na przyk\u0142ad, aby ukry\u0107 proces z \/proc i wyj\u015bcia narz\u0119dzi takich jak ps, mo\u017cna wykona\u0107 \u201ekill -59 PID_procesu\u201d, a aby podnie\u015b\u0107 uprawnienia, ustawi\u0107 zmienn\u0105 \u015brodowiskow\u0105 \u201eMAGIC=mtz.\u201d <\/p>\n
Rootkit ukrywa ruch reverse shell przed analizatorami sieciowymi i pozwala omija\u0107 obs\u0142ugiwacze SELinux, kt\u00f3re reaguj\u0105 na ICMP. Singularity obejmuje tak\u017ce funkcje ukrywania wybranych po\u0142\u0105cze\u0144 sieciowych z tabeli \/proc\/net\/nf_conntrack, obs\u0142ug w\u0142a\u015bciwego gniazda SOCK_DIAG\/NETFILTER oraz narz\u0119dzi takich jak netstat, ss, lsof, tcpdump i wireshark. Dost\u0119pne s\u0105 obs\u0142ugiwacze do czyszczenia komunikat\u00f3w audytu oraz log\u00f3w (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Istniej\u0105 filtry przeciwdzia\u0142aj\u0105ce analizatorom pami\u0119ci, takim jak Volatility, wykorzystuj\u0105cym \/proc\/kcore, \/proc\/kallsyms i \/proc\/vmallocinfo, a tak\u017ce mo\u017cliwo\u015bci filtrowania bezpo\u015brednich odwo\u0142a\u0144 do urz\u0105dze\u0144 blokowych, aby zapobiec niskopoziomowej analizie zawarto\u015bci systemu plik\u00f3w.
![\"Odtwarzaj](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n