Rootkit LinkPro usa eBPF para ocultar atividades maliciosas em sistemas GNULinux

Um novo rootkit para Linux, chamado LinkPro, foi descoberto utilizando a tecnologia eBPF (Extended Berkeley Packet Filter) para ocultar sua presença e garantir persistência em sistemas comprometidos. A equipe de resposta a incidentes da Synacktiv (CSIRT) identificou o malware durante uma investigação em uma infraestrutura AWS comprometida. O LinkPro atuou como um backdoor discreto em clusters do Elastic Kubernetes Service (EKS) após a exploração de um servidor Jenkins exposto (CVE-2024-238976).

Desenvolvido em Go, o LinkPro utiliza dois módulos eBPF para gerenciar tanto a ocultação quanto a ativação de comandos. O módulo “Hide” intercepta chamadas de nível de kernel, filtrando listagens de diretórios e ocultando objetos BPF de ferramentas como bpftool. Quando a carga do eBPF falha, o malware recorre a um método de ocultação em espaço de usuário, injetando uma biblioteca libld.so para alterar as saídas de utilitários padrão, como netstat e ls.

Além disso, o módulo “Knock” implementa programas eBPF XDP e TC para interceptar pacotes de rede, permitindo a ativação do rootkit através de um “pacote mágico”. A persistência é garantida ao se disfarçar como um serviço legítimo do systemd, garantindo que o malware seja executado automaticamente na inicialização do sistema. O LinkPro é um exemplo da evolução do malware em Linux, utilizando técnicas sofisticadas para evasão e persistência.

Fonte: https://cyberpress.org/linkpro-rootkit-ebpf/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).