PUMAKIT: Нов руткит за Linux, който е почти невъзможно да бъде открит

Изследователи в областта на киберсигурността са идентифицирали нов злонамерен руткит за Linux, наречен PUMAKIT. Той е способен да прикрива присъствието си, да увеличава привилегиите си и да избягва откриване от системните инструменти. Този зареждащ се модул на ядрото (LKM) разполага със сложни механизми за прикриване, което го прави сериозна заплаха.

Според Elastic Security Labs, този руткит използва многоетапна архитектура, която включва дроп-компонент на име „cron“, два изпълними файла в паметта („/memfd:tgt“ и „/memfd:wpn“), LKM руткит („puma.ko“) и библиотека Kitsune („lib64/libs.so“), която се изпълнява в потребителското пространство. Тези елементи работят заедно, за да скрият злонамерената му дейност.

Специалната характеристика на PUMAKIT е използването на вътрешния проследяващ механизъм на Linux (ftrace) за инжектиране на 18 системни извиквания и модифициране на ключови функции на ядрото, като например „prepare_creds“ и „commit_creds“. Това позволява на руткита да променя поведението на системата и да осигурява достъп до скрити функции.

Модулът се активира само когато са изпълнени определени условия, като например проверки за безопасност при зареждане или наличие на символна таблица на ядрото. Тези условия се проверяват чрез сканиране на ядрото, а всички необходими файлове са вградени в дропъра във формат ELF. Зловредният софтуер използва и нестандартни методи за комуникация, включително извикване на rmdir() за повишаване на привилегиите.

Всичко това осигурява допълнителна сложност при откриването и блокирането на PUMAKIT.

Всяка стъпка от заразяването е внимателно скрита – от използването на файлове, съхранявани само във временната памет, до извършването на серия от проверки преди стартирането на руткита. Инструментите за анализ показаха, че дори стандартни елементи като „/memfd:tgt“ се основават на обща бинарна програма на Ubuntu Cron, докато „/memfd:wpn“ служи за зареждащ модул на руткита.

Понастоящем PUMAKIT не е свързан с никоя известна хакерска група, но изследователите отбелязват, че сложната му архитектура показва нарастващата сложност на зловредния софтуер за Linux. Тези разработки се превръщат във все по-сериозна заплаха за системите на тази платформа.