RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

Создан еще один PoC-код, демонстрирующий возможность обхода EDR-защиты Linux с помощью интерфейса ядра io_uring. Программа-агент, написанная специалистом по пентесту MatheuZ, способна скрытно и бесшумно работать в системе, как бэкдор.

Механизм асинхронного ввода-вывода io_uring был реализован еще в Linux 5.1 с целью повышения эффективности коммуникаций между пространством пользователя и ядром. Интерфейс позволяет выполнять множество операций без использования системных вызовов, которые тормозят и подвешивают процессы.

Вместе с тем многие коммерческие ИБ-решения для Linux класса EDR при мониторинге среды выполнения полагаются на перехват системных вызовов open, connect, read, write или отслеживают их с помощью зондов eBPF и игнорируют все, что связано с io_uring (максимум — фиксируют вызов io_uring_enter).

Созданный MatheuZ бэкдор пока не умеет закрепляться в системе, но скрытен и гибок в использовании. Он подключается к C2-серверу, код которого написан на Python, в интерактивном режиме принимает команды и выполняет задачи постэксплуатации, умело скрываясь от традиционных средств мониторинга.

Основные функции RingReaper:

  • передача данных по сети с использованием io_uring_prep_send и io_uring_prep_recv;
  • чтение содержимого файлов с помощью io_uring_prep_openat и io_uring_prep_read;
  • загрузка и вывод файлов без использования системных вызовов read и write;
  • выполнение команд на составление списков пользователей, процессов, соединений;
  • самоудаление через io_uring_prep_unlinkat.

Использование io_uring помогает PoC-зловреду не только обходить традиционную EDR-защиту, но также выдавать свой трафик за легитимный, особенно на стандартных портах вроде 443.

 

В минувшем апреле возможность обхода EDR с помощью io_uring продемонстрировали эксперты ARMO. Тестирование написанного ими Linux-руткита показало близкий к нулю уровень детектирования.

А в атаках на Windows злоумышленники для обхода EDR начали использовать инструмент пентеста Shellter. В настоящее время его применяют для скрытной загрузки инфостилеров, притом тоже с большой вероятностью успеха.

20 трлн руб. на руках: россияне снова переходят на кеш, банки напряглись

Российский бизнес и потребители стали возвращаться к наличным расчётам. Сбер уже бьёт тревогу: финансовая система за последние годы привыкла к безналичной белой экономике, а теперь часть оборота снова уходит в кеш. Банк России фиксирует тот же тренд.

К концу апреля объём наличных на руках вырос до 20 трлн рублей, что на 700 млрд рублей больше, чем в марте. В первой половине мая через кассы и банкоматы в экономику поступило ещё 330 млрд рублей.

Сильнее всего наличные возвращаются в продуктовый ретейл, мебельный бизнес, строительство, гостиницы и автотовары. По данным «Платформы ОФД», в первом квартале доля кеша в этих сегментах превысила 35%.

Причин несколько. Первая — отключения мобильного интернета; если связь нестабильна, карта и приложение банка внезапно превращаются в красивую, но бесполезную картинку. Вторая — опасения из-за возможного усиления налогового контроля за переводами. Люди услышали про интерес ФНС к этой теме и решили, что лучше бумажные деньги в руках, чем лишние следы в цифре.

Но у налички есть неприятный побочный эффект. Чем больше кеша в обороте, тем проще появляются схемы вроде «скидка без чека», оплаты мимо кассы, дробления платежей и фиктивных возвратов. То есть вместе с купюрами возвращается и старая добрая серая зона.

Бизнесу тоже не всегда удобно. Наличные надо хранить, пересчитывать, инкассировать, а это дополнительные расходы и риски. В гостиничном и ресторанном сегменте рост уже заметен: например, владельцы отелей говорят, что гости чаще платят наличными в ресторанах, где суммы ниже, чем за проживание.

Аналитики допускают, что до конца 2026 года доля наличных расчётов может удержаться на уровне 28-31%. Активнее всего кеш будут использовать малый и средний бизнес, а также обычные потребители.

RSS: Новости на портале Anti-Malware.ru