Кіберзлочинці поширюють інструкції для створення руткітів на основі eBPF

Технологія eBPF, яка тривалий час вважалася корисним інструментом для моніторингу мереж та безпеки в ядрі Linux, стає засобом для кібератак. За даними компанії Flare, зловмисники почали публікувати на підпільних форумах покрокові інструкції та вихідний код для створення руткітів.

Про це повідомляє BleepingComputer

На відміну від класичних модулів ядра, які легше виявити за допомогою стандартних засобів перевірки, програми eBPF використовують легітимні інтерфейси ядра. Це дозволяє їм приховувати процеси та активувати бекдори за допомогою спеціально сформованих мережевих пакетів, залишаючись непоміченими для більшості систем захисту.

Зловмисники перейшли від теоретичних обговорень на конференціях до розповсюдження повноцінних інструкцій та готового коду на хакерських форумах.

— Дослідники компанії Flare

Історія використання eBPF у зловмисних цілях налічує кілька років. У 2022 році аналітики PwC та Elastic Security Labs зафіксували активність бекдору BPFDoor, який використовували для атак в Азії та на Близькому Сході. Пізніше були виявлені такі інструменти, як Symbiote та LinkPro, що також використовують можливості eBPF для приховування своєї присутності в системі.

Останні виявлені зловмисні розробки демонструють використання методів шифрування трафіку AES-256-GCM та інтеграцію XDP для блокування антивірусного програмного забезпечення. Експерти наголошують, що через роботу через офіційні інтерфейси ядра, виявлення таких загроз вимагає складнішого моніторингу, зокрема відстеження системних викликів та обмеження привілеїв CAP_BPF. Фахівці рекомендують організаціям регулярно проводити аудит завантажених програм та оперативно встановлювати оновлення безпеки.