Rootkit eBPF: perché gli attori dell’underground li stanno notando…

Per anni, eBPF (extended Berkeley Packet Filter) è stata una delle tecnologie più apprezzate nel kernel Linux. Consente agli sviluppatori di eseguire programmi in sandbox all’interno del kernel senza scrivere moduli kernel, supportando al contempo ogni tipo di funzionalità, dal monitoraggio della rete agli strumenti di sicurezza. Linux è estremamente diffuso nei server di produzione e giganti come Google, Cloudflare e Meta vi fanno affidamento ogni giorno.

. Tuttavia, le stesse funzionalità eBPF che risultano interessanti per i difensori possono costituire un’arma potente nelle mani degli aggressori. La ricerca di Flare ha rilevato post su forum underground che condividevano il codice del rootkit eBPF e tutorial dettagliati. Un post in lingua russa descriveva come creare un implant con funzionalità di occultamento dei processi e attivazione tramite pacchetti e includeva screenshot che l’autore presentava come dimostrazioni.

. Cosa rende pericoloso l’eBPF? I rootkit Linux tradizionali in genere si basano su moduli kernel caricabili (LKM) per agganciare le chiamate di sistema e nascondere le attività dannose. Questi sono ben noti ai difensori e la maggior parte delle soluzioni EDR monitora i caricamenti di moduli sospetti. L’eBPF, tuttavia, si comporta in modo diverso.

. Un malware eBPF può agganciarsi alle funzioni del kernel, osservare le chiamate di sistema o ispezionare e modificare il traffico di rete utilizzando la stessa interfaccia bpf() supportata dal kernel di strumenti legittimi come Cilium. I suoi programmi vengono eseguiti senza caricare un modulo del kernel, quindi un controllo di routine con lsmod può non individuarli. La sfida per i difensori consiste nel determinare chi ha caricato il programma e cosa fa.

Il prossimo rootkit per Linux è già oggetto di discussione nell’underground I rootkit eBPF stanno passando dai discorsi tenuti alle conferenze ai tutorial nei forum dell’underground e, quando uno di essi viene caricato su un host, è già progettato per eludere i controlli abituali. Flare monitora forum, marketplace e siti di paste in tempo reale, in modo che il tuo team possa individuare nuovi strumenti, exploit e conversazioni con sufficiente anticipo per tenere traccia delle minacce eBPF.