{"id":154848,"date":"2026-01-23T23:11:55","date_gmt":"2026-01-23T21:11:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf"},"modified":"2026-01-23T23:11:55","modified_gmt":"2026-01-23T21:11:55","slug":"proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/proekt-singularity-razvivaet-otkrytyj-rutkit-obhodyashhij-selinux-netfilter-lkrg-i-ebpf","title":{"rendered":"Projekt Singularity utvecklar en \u00f6ppen rootkit som kringg\u00e5r SELinux, Netfilter, LKRG och eBPF","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Matheus Alves, en s\u00e4kerhetsforskare med inriktning p\u00e5 skadlig kod, publicerade en uppdatering av projektet Singularity, som utvecklar en \u00f6ppen rootkit f\u00f6r Linux-k\u00e4rnan, distribuerad under MIT-licensen. Projektets m\u00e5l \u00e4r att demonstrera metoder som g\u00f6r det m\u00f6jligt att d\u00f6lja sin n\u00e4rvaro efter att ha f\u00e5tt root\u00e5tkomst och bevara m\u00f6jligheten f\u00f6r hemlig utf\u00f6rande av privilegierade operationer. Det antas att Singularity kan vara anv\u00e4ndbart f\u00f6r s\u00e4kerhetsforskare f\u00f6r att testa och utveckla verktyg f\u00f6r uppt\u00e4ckte och blockerande av rootkits. <\/p>\n
Rootkitet \u00e4r utformat som en modul f\u00f6r Linux-k\u00e4rnor 6.x och anv\u00e4nder ftrace-mekanismen f\u00f6r att diskret f\u00e5nga systemanrop utan att \u00e4ndra ing\u00e5ngspunkterna f\u00f6r systemanrop och utan att modifiera k\u00e4rnfunktioner. Singularity st\u00f6der d\u00f6lja sin n\u00e4rvaro i systemet samt d\u00f6lja angivna processer och relaterade filer och n\u00e4tverksaktivitet. F\u00f6r att underl\u00e4tta f\u00f6r forskare \u00e4r rootkitets funktionalitet uppdelad i moduler. <\/p>\n
F\u00f6rutom typiska metoder f\u00f6r att d\u00f6lja sin n\u00e4rvaro i systemet, s\u00e5som att d\u00f6lja n\u00f6dv\u00e4ndiga processer, filer, kataloger och k\u00e4rnmoduler, implementerar Singularity flera avancerade metoder f\u00f6r att kringg\u00e5 skyddsmekanismer och f\u00f6rsv\u00e5ra uppt\u00e4ckten av specialiserade rootkit-scanners, s\u00e5som Falco, ghostscan, tracee, unhide, chkrootkit och rkhunter. Bland annat kan Singularity d\u00f6lja sin aktivitet fr\u00e5n verktyg som anv\u00e4nder eBPF, ta bort eBPF-blokeringar, f\u00f6rhindra laddning av k\u00e4rnmoduler, motst\u00e5 analys av in- och utdata via io_uring-subsystemet, samt kringg\u00e5 integritetskontroller som utf\u00f6rs av LKRG-modulen (Linux Kernel Runtime Guard). <\/p>\n
I Singularity erbjuder en reverse shell som ger privilegierad fj\u00e4rr\u00e5tkomst till systemet genom att skicka ICMP-paket, samt handhavanden som m\u00f6jligg\u00f6r d\u00f6lja processer eller \u00f6ka privilegier i systemet genom vissa manipulationer med signaler och milj\u00f6variabler. Till exempel, f\u00f6r att d\u00f6lja en process fr\u00e5n \/proc och outputverktyg som ps, kan man k\u00f6ra \"kill -59 PID_process\", och f\u00f6r att \u00f6ka privilegierna st\u00e4lla in milj\u00f6variabeln \"MAGIC=mtz\". <\/p>\n
Rootkit d\u00f6ljer reverse shell-trafik fr\u00e5n n\u00e4tverksanalysatorer och m\u00f6jligg\u00f6r att kringg\u00e5 SELinux-handledare som aktiveras av ICMP. Singularity inkluderar ocks\u00e5 funktioner f\u00f6r att d\u00f6lja vissa n\u00e4tverksanslutningar fr\u00e5n tabellerna \/proc\/net\/nf_conntrack, netlink-handledare SOCK_DIAG\/NETFILTER och verktyg som netstat, ss, lsof, tcpdump och wireshark. Det finns hanterare f\u00f6r att rensa revisionsmeddelanden och loggutdata (klogctl, syslog, systemd-journal, \/sys\/kernel\/debug\/tracing\/, dmesg). Det finns filter f\u00f6r att motverka minnesanalysatorer, s\u00e5som Volatility, som anv\u00e4nder \/proc\/kcore, \/proc\/kallsyms och \/proc\/vmallocinfo, samt funktioner f\u00f6r att filtrera direkt\u00e5tkomst till blockenheter f\u00f6r att f\u00f6rhindra l\u00e5gniv\u00e5analys av FS-inneh\u00e5ll.
![\"Spela](\"https:\/\/img.youtube.com\/vi\/ByEp137w3Ks\/hqdefault.jpg\")
\r\n