Blog 24/7
ARK. 1 · 1 min czytaniaŚwiat ·

Na forach przestępczych krążą kod i poradniki rootkitów eBPF dla Linuksa

Flare znalazła na forach przestępczych kod i instrukcje budowy rootkitów eBPF. Działają bez ładowania modułu jądra, więc rutynowe sprawdzenie poleceniem lsmod może ich nie wykryć.

Karta wpisu: Na forach przestępczych krążą kod i poradniki rootkitów eBPF dla Linuksa

Na forach przestępczych krążą kod i instrukcje krok po kroku do budowy rootkitów eBPF dla Linuksa, ustaliła firma Flare. Nie chodzi o lukę z poprawką, tylko o wykorzystanie mechanizmu wbudowanego w jądro. Jeden z wpisów po rosyjsku opisuje implant, który ukrywa procesy i włącza się po odebraniu specjalnie przygotowanego pakietu. Klasyczne rootkity ładują moduł jądra, a takie zdarzenie obserwuje większość systemów EDR. Program eBPF działa bez modułu i korzysta z tego samego interfejsu bpf() co legalne narzędzia, na przykład Cilium, więc rutynowe sprawdzenie poleceniem lsmod może go nie wykryć. Pierwszym głośnym przypadkiem był BPFDoor, opisany w 2022 roku przez PwC i Elastic Security Labs i przypisany chińskiej grupie Red Menshen.

Kogo dotyczy

Serwerów z Linuksem. Według materiału główna trudność dla zespołów broniących polega na ustaleniu, kto załadował dany program eBPF i co on faktycznie robi w systemie.

TAB. 2

Źródła

1
BleepingComputer — eBPF Rootkits: Why Underground Actors Are Taking Noticebleepingcomputer.com
TAB. 3

Powiązane

3
14.11.2026ŚwiatOsaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańców
14.11.2026ŚwiatArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-ach
14.11.2026ŚwiatPlatformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGI

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media