推广 热搜: 京东  联通  iphone11  摄像头  企业存储  iPhone  XSKY  京东智能采购  网络安全  自动驾驶 

新型 Linux Rootkit PUMAKIT 使用先进的隐身技术躲避检测

   日期:2024-12-16     浏览:537    我要评论    
导读:PUMA 使用独特的方法进行交互,包括使用 rmdir() 系统调用进行权限升级,以及使用专门的命令提取配置和运行时信息。

安全库消息,国外网络安全研究人员发现了一种名为 PUMAKIT 的新型 Linux rootkit,它具有升级权限、隐藏文件和目录、从系统工具中隐藏自身等功能,同时还能躲避检测。

Elastic 安全实验室的研究人员 Remco Sprooten 和 Ruben Groenewoud 在周四发布的一份技术报告中说:“PUMAKIT 是一种复杂的可加载内核模块(LKM)rootkit,它采用先进的隐身机制来隐藏自己的存在,并保持与命令控制服务器的通信。”

该公司的分析来自今年 9 月初上传到 VirusTotal 恶意软件扫描平台的人工制品。

该恶意软件的内部结构基于一个多阶段架构,包括一个名为 “cron ”的滴管组件、两个内存驻留可执行文件(“/memfd:tgt ”和“/memfd:wpn”)、一个LKM rootkit(“puma.ko”)和一个名为Kitsune(“lib64/libs.so”)的共享对象(SO)用户域rootkit。

它还使用 Linux 内部函数跟踪器(ftrace)挂钩多达 18 种不同的系统调用和各种内核函数,如 “prepare_creds ”和 “commit_creds”,以改变核心系统行为并实现其目标。

研究人员说:“PUMA 使用独特的方法进行交互,包括使用 rmdir() 系统调用进行权限升级,以及使用专门的命令提取配置和运行时信息。”

研究人员说:“通过分阶段部署,LKM rootkit 确保只有在满足特定条件(如安全启动检查或内核符号可用性)时才会激活。这些条件通过扫描Linux内核来验证,所有必要的文件都以ELF二进制文件的形式嵌入到滴管中。”

可执行文件“/memfd:tgt ”是默认的 Ubuntu Linux Cron 二进制文件,未作任何修改,而“/memfd:wpn ”则是 rootkit 的加载器,前提是满足条件。LKM rootkit 包含一个嵌入式 SO 文件,用于从用户空间与菜鸟进行交互。

Elastic 公司指出,感染链的每个阶段都旨在隐藏恶意软件的存在,并在释放 rootkit 之前利用内存驻留文件和特定检查。该公司告诉《黑客新闻》,现阶段还不能将 PUMAKIT 归咎于任何已知的威胁行为者或组织。

“PUMAKIT是一种复杂而隐蔽的威胁,它使用了系统调用挂钩、内存驻留执行和独特的权限升级方法等先进技术。它的多体系结构设计凸显了针对 Linux 系统的恶意软件日益复杂,”研究人员总结道。

 
反对 0举报 0 收藏 0 打赏 0评论 0
 
更多>同类资讯
0相关评论

头条阅读
推荐图文
相关资讯
网站首页  |  物流配送  |  关于我们  |  联系方式  |  使用协议  |  版权隐私  |  网站地图  |  排名推广  |  广告服务  |  积分换礼  |  RSS订阅  |  违规举报  |  京ICP备14047533号-2