{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"O projeto Singularity desenvolve um rootkit aberto que contorna o SELinux, Netfilter, LKRG e eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, pesquisador de seguran\u00e7a especializado em malware, publicou uma atualiza\u00e7\u00e3o do projeto Singularity, que desenvolve um rootkit de c\u00f3digo aberto para o n\u00facleo do Linux, distribu\u00eddo sob a licen\u00e7a MIT. O objetivo do projeto \u00e9 demonstrar m\u00e9todos que permitem ocultar sua presen\u00e7a ap\u00f3s obter acesso root e manter a capacidade de execu\u00e7\u00e3o oculta de opera\u00e7\u00f5es privilegiadas. Acredita-se que o Singularity possa ser \u00fatil para pesquisadores de seguran\u00e7a na teste e desenvolvimento de utilit\u00e1rios de detec\u00e7\u00e3o e bloqueio de rootkits. <\/p>\n
O rootkit \u00e9 apresentado como um m\u00f3dulo para n\u00facleos Linux 6.x e utiliza o mecanismo ftrace para interceptar chamadas de sistema de maneira discreta, sem alterar os pontos de entrada nas chamadas de sistema e sem modificar fun\u00e7\u00f5es do n\u00facleo. O Singularity suporta a oculta\u00e7\u00e3o de sua presen\u00e7a no sistema, bem como o ocultamento de processos designados pelo invasor, arquivos associados e atividades de rede. Para a conveni\u00eancia dos pesquisadores, a funcionalidade do rootkit \u00e9 dividida em m\u00f3dulos. <\/p>\n
Al\u00e9m dos m\u00e9todos padr\u00e3o de oculta\u00e7\u00e3o de presen\u00e7a no sistema, como esconder processos, arquivos, diret\u00f3rios e m\u00f3dulos do n\u00facleo necess\u00e1rios, o Singularity implementa v\u00e1rios m\u00e9todos avan\u00e7ados para contornar mecanismos de prote\u00e7\u00e3o e dificultar a detec\u00e7\u00e3o por scanners de rootkit especializados, como Falco, ghostscan, tracee, unhide, chkrootkit e rkhunter. Entre outras coisas, o Singularity pode ocultar sua atividade de ferramentas que utilizam eBPF, remover bloqueios do eBPF, prevenir o carregamento de m\u00f3dulos do n\u00facleo, resistir a an\u00e1lises de entrada\/sa\u00edda por meio da subsistema io_uring, bem como contornar verifica\u00e7\u00f5es de integridade feitas pelo m\u00f3dulo LKRG (Linux Kernel Runtime Guard). <\/p>\n
No Singularity, h\u00e1 um reverse shell que fornece acesso remoto privilegiado ao sistema atrav\u00e9s do envio de pacotes ICMP, al\u00e9m de manipuladores que permitem ocultar processos ou elevar privil\u00e9gios no sistema atrav\u00e9s de certas manipula\u00e7\u00f5es com sinais e vari\u00e1veis de ambiente. Por exemplo, para ocultar um processo de \/proc e da sa\u00edda de utilit\u00e1rios, como ps, pode-se executar \"kill -59 PID_do_processo\", e para elevar privil\u00e9gios, definir a vari\u00e1vel de ambiente \"MAGIC=mtz\". <\/p>\n
O rootkit oculta o tr\u00e1fego do reverse shell de analisadores de rede e permite contornar os tratadores do SELinux que acionam em ICMP. O Singularity tamb\u00e9m inclui capacidades para ocultar certas conex\u00f5es de rede das tabelas \/proc\/net\/nf_conntrack, tratadores de netlink SOCK_DIAG\/NFTABLES e utilit\u00e1rios como netstat, ss, lsof, tcpdump e wireshark. H\u00e1 tratadores dispon\u00edveis para limpar mensagens de auditoria e logs (klogctl, syslog, journal systemd, \/sys\/kernel\/debug\/tracing\/, dmesg). Existem filtros para combater analisadores de mem\u00f3ria, como Volatility, que usam \/proc\/kcore, \/proc\/kallsyms e \/proc\/vmallocinfo, assim como capacidades de filtra\u00e7\u00e3o de acessos diretos a dispositivos de bloco para prevenir a an\u00e1lise de baixo n\u00edvel do conte\u00fado do sistema de arquivos.
![\"Por](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n