Flare нашла на форумах код eBPF-руткитов для Linux с инструкциями
Исследователи Flare обнаружили на подпольных форумах код руткитов на базе eBPF и пошаговые инструкции по их созданию. Одно из сообщений на русском языке описывает имплант с сокрытием процессов и активацией по специальным пакетам.
Главное в цифрах
- Количество IP-адресов в списке, который, по описанию руководства, связан с антивирусными вендорами: 43
- Количество связанных постов на Pastebin: 10
- Площадка с наибольшим числом перепостов эксплойта CVE-2017-16995: не менее шести платформ
По данным Flare, на подпольных форумах, маркетплейсах и сайтах для публикации текстов появились публикации с исходным кодом eBPF-руткитов и пошаговыми руководствами. Одно из сообщений на русскоязычном форуме Duty Free описывает сборку импланта, который активируется TCP SYN-пакетом с определённым размером окна, скрывает процессы через перехват getdents64 и шифрует трафик управления по AES-256-GCM.
Автор руководства ссылается на BPFDoor и Symbiote как на источники идей и приложил скриншоты, которые представил как демонстрацию работы. Кроме того, Flare нашла 10 связанных постов на Pastebin с кодом обработки пакетов на XDP и временными порогами в микросекундах.
Почему eBPF сложнее обнаружить
Традиционные руткиты для Linux обычно опираются на загружаемые модули ядра, которые хорошо известны защитникам, а большинство EDR-решений следят за их загрузкой. eBPF-программы работают без загрузки модуля, поэтому обычная проверка через lsmod может их пропустить. Определить, кто загрузил такую программу и что она делает, становится сложнее.
По словам исследователей, eBPF-угроза работает через легитимный интерфейс ядра: программа проходит встроенный верификатор, и для ядра она выглядит как любая другая одобренная программа.
Предшественники
Ранее BPF уже использовался в бэкдоре BPFDoor, который PwC обнаружила в 2021 году и который связывают с китайской группировкой Red Menshen. Бэкдор реагирует на специально сформированные TCP, UDP или ICMP-пакеты и может открыть обратный шелл.
Вредонос Symbiote, о котором в 2022 году сообщили Intezer и BlackBerry, подгружает вредоносную разделяемую библиотеку в процессы через динамический компоновщик и добавляет собственные BPF-фильтры, скрывая трафик от захвата пакетов. В 2021 году на Black Hat USA и DEF CON показали ebpfkit, а в октябре 2025 года Synacktiv описала LinkPro, который начинался с атаки на открытый сервер Jenkins.
Что рекомендуют защитникам
Исследователи советуют регулярно проверять загруженные eBPF-программы командой bpftool prog list, ограничить доступ к eBPF через kernel.unprivileged_bpf_disabled=1 и ограничить CAP_BPF и CAP_NET_ADMIN, следить за необычными XDP-программами на сетевых интерфейсах и своевременно устанавливать обновления, так как ошибки верификатора BPF повторяются. Отдельно рекомендуется отслеживать «магические» пакеты, на которые реагируют некоторые eBPF-бэкдоры.
