Дослідники зафіксували поширення eBPF-руткитів на підпільних форумах
Flare виявила на підпільних форумах код та інструкції для eBPF-руткитів, які можуть приховувати активність у Linux.
Дослідники Flare виявили на підпільних форумах вихідні коди та покрокові інструкції зі створення eBPF-руткитів для Linux. Таке шкідливе програмне забезпечення може приховувати активність у системі та обходити традиційні перевірки, не завантажуючи модулі ядра, повідомляє BleepingComputer.
Приховування без модулів ядра
eBPF дає змогу запускати ізольовані програми всередині ядра Linux через штатний інтерфейс bpf(). Цю технологію застосовують, зокрема, для моніторингу мережі та інструментів безпеки. Водночас зловмисники можуть використовувати її для перехоплення функцій ядра, спостереження за системними викликами, аналізу або зміни мережевого трафіку.
Звичайні Linux-руткити часто спираються на завантажувані модулі ядра, появу яких можуть відстежувати засоби захисту. eBPF-програми працюють без таких модулів, тому стандартна перевірка командою lsmod може їх не виявити. Для захисників складність полягає у встановленні того, хто завантажив програму та які саме дії вона виконує.
Код і приклади атак
За даними Flare, на російськомовному форумі Duty Free користувач опублікував інструкцію зі створення eBPF-руткита, посилаючись на BPFDoor і Symbiote. У посібнику описано приховування процесів через перехоплення getdents64, активацію імпланта TCP SYN-пакетом із визначеним розміром вікна та шифрування командного трафіку AES-256-GCM.
Дослідники також виявили 10 пов’язаних дописів на Pastebin із кодом для обробки пакетів XDP. Окремо на різних платформах поширювали експлойти, зокрема для CVE-2017-16995 — уразливості верифікатора Linux BPF 2017 року. Flare зазначила, що один поширюваний доказ концепції локального підвищення привілеїв для kTLS і eBPF sockmaps не був верифікований на Ubuntu 22.04 або 24.04, а заявлена сумісність з усіма ядрами від версії 4.18 є неправильною.
Для виявлення таких загроз дослідники радять регулярно перевіряти завантажені eBPF-програми через bpftool, обмежувати доступ до eBPF, стежити за підозрілими точками підключення до системних викликів і неочікуваними XDP-програмами на мережевих інтерфейсах.
