RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

RingReaper: Linux-бэкдор, обходящий EDR с помощью io_uring

Создан еще один PoC-код, демонстрирующий возможность обхода EDR-защиты Linux с помощью интерфейса ядра io_uring. Программа-агент, написанная специалистом по пентесту MatheuZ, способна скрытно и бесшумно работать в системе, как бэкдор.

Механизм асинхронного ввода-вывода io_uring был реализован еще в Linux 5.1 с целью повышения эффективности коммуникаций между пространством пользователя и ядром. Интерфейс позволяет выполнять множество операций без использования системных вызовов, которые тормозят и подвешивают процессы.

Вместе с тем многие коммерческие ИБ-решения для Linux класса EDR при мониторинге среды выполнения полагаются на перехват системных вызовов open, connect, read, write или отслеживают их с помощью зондов eBPF и игнорируют все, что связано с io_uring (максимум — фиксируют вызов io_uring_enter).

Созданный MatheuZ бэкдор пока не умеет закрепляться в системе, но скрытен и гибок в использовании. Он подключается к C2-серверу, код которого написан на Python, в интерактивном режиме принимает команды и выполняет задачи постэксплуатации, умело скрываясь от традиционных средств мониторинга.

Основные функции RingReaper:

  • передача данных по сети с использованием io_uring_prep_send и io_uring_prep_recv;
  • чтение содержимого файлов с помощью io_uring_prep_openat и io_uring_prep_read;
  • загрузка и вывод файлов без использования системных вызовов read и write;
  • выполнение команд на составление списков пользователей, процессов, соединений;
  • самоудаление через io_uring_prep_unlinkat.

Использование io_uring помогает PoC-зловреду не только обходить традиционную EDR-защиту, но также выдавать свой трафик за легитимный, особенно на стандартных портах вроде 443.

 

В минувшем апреле возможность обхода EDR с помощью io_uring продемонстрировали эксперты ARMO. Тестирование написанного ими Linux-руткита показало близкий к нулю уровень детектирования.

А в атаках на Windows злоумышленники для обхода EDR начали использовать инструмент пентеста Shellter. В настоящее время его применяют для скрытной загрузки инфостилеров, притом тоже с большой вероятностью успеха.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Российские банки обяжут привязывать клиентские счета к ИНН

Банк России собирается ввести обязательное требование для кредитно-финансовых организаций — привязку ИНН клиентов к их счетам. Новый реквизит понадобится для платформы «Антидроп», запуск которой запланирован на середину 2027 года.

О новой мере, нацеленной на противодействие дропперству, рассказала в ходе интервью РБК зампред Центробанка Ольга Полякова.

По ее словам, российские банки умеют работать с ИНН, даже обзавелись инструментами для получения этого идентификатора в ФНС. Результаты опросов финансистов показали их готовность соответствовать новой норме.

«Если раньше для банков не было обязательного требования устанавливать ИНН клиента как обязательный реквизит счета, то мы такое требование введем, и при открытии нового счета, и по тем счетам, что были открыты ранее», — уточнила представитель ЦБ.

С 1 сентября 2025 года у россиян стали запрашивать ИНН при предоставлении кредитов и займов — в соответствии с ФЗ-9 от 13 февраля. Подобная мера была введена в рамках борьбы мошенничеством в этой сфере.

Концепция платформы «Антидроп», по словам Поляковой, уже утверждена, проект архитектуры сервиса готов. В настоящее время Центробанк разрабатывает ТЗ, чтобы в будущем году перейти к разработке системы.

Подключение банков к «Антидропу» будет обязательным, однако решения о степени риска для внесенных в базу клиентов они смогут принимать самостоятельно. По такому же принципу сейчас работает платформа «Знай своего клиента» (KYC), созданная для противодействия отмыванию денег.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru