Плащ невидимка для linux процессов
*
В программе:
Аномальное монтирование
Пустые каталоги в которых есть жизнь
Заплывы с sTrace
Форензика одной ладошкой
*
Я надеваю свой плащ и волшебную шляпу - Invisibility Cloak - Slash-Proc Magic

#redteam #linux #proc

eBPF based kernel backdoor
*
Снифинг ssh/sudo/su/login/passwd сессий
*
download

#ebpf #linux

SLUBStick - атака на кэш ядра linux
*
Суть атаки сводится к перекрестному кэшированию ядра, перетекает из limited heap в возможность произвольного чтения и записи в памяти (а это LPE и escape docker).
Затестили на: ядра 5.9 и 6.2 _ x32/x64
Но то ладно, интересно другое, использовались 9 CVE -)
Но то ладно, защита ядер SMEP/SMAP/KASLR - в упор не видят атаки -)
*
В конце августа, будет конфа, где обещают всем участникам в гостиничном номере на подушку положат не шоколадку, а POC exploit
*
За то зарелизили сочный хрустящий PDF с жирным тех анализом и возможностью применения
*
Жирный хрустящий slubstick.pdf


#linux #vuln

Скрытие (и раскрытие) процессов Linux
*
*
1. Hiding Linux Processes with Bind Mounts
*
2. The 'Invisibility Cloak' - Slash-Proc Magic

#linux #hacks

CVE-2024-26808
*
Local Privilege Escalation Risk in Linux
*
WriteUp
*
Exploit

#linux #lpe

Kernel (Linux) _#
*
В ядре Linux в системных вызовах exec существует проблема времени проверки/времени использования. Разрешения на выполнение проверяются в другое время, чем применяется бит set-user-ID. Это LPE.
Есть два состояния бинаря (условно), которые должны быть безопасными:
1. Бинарь имеет root-идентификатор + set-user-ID, но хакеру его не исполнить.
2. Бинарь не имеет руть идентификатора, потому может быть выполнен хакером.
*
А вот тут то и впрягается состояния гонки, как и в реальном мире, старичок бит может не успеть выпить таблетки
*
Proof of Concept

#LPE #linux #ricecondition #kernel

The Art of Linux Kernel Rootkits
Вдруг вы не читали

#linux #rootkit

CVE-2024-36972
*
Два в одном !
Linux LPE and Container Escape
*
vulnerability affects Linux kernel versions:
v6.8 to v6.9
v5.15.147
v6.1.78
v6.6.17

POC exploit

#Linux #lpe #container #escape

CVE-2025-0927
*
Affected Versions
* Linux Kernel, up to 6.12.0
* Ubuntu 22.04 with Linux Kernel 6.5.0-18-generic
/
Большой WriteUP + Source Exploit.c - Linux kernel hfsplus slab-out-of-bounds Write

UPDATE: если совсем коротко то -локальные юзеры (без особых прав) могут устанавливать произвольные файловые системы через Udisks2 из-за правил для Polkit. Включая в себя ФС, чьи монтирования обычно требуют CAP_SYS_ADMIN в init user namespace.

#linux

Прикольный сэмл linux руткита который работает через io_uring , а большинство EDR этот самый io_uring просто игнорят.

download POC rootkit Curing
*
+ Video

#linux #rootkits #kernel