潜伏性 Linux rootkit 在野外被发现，此前已未被检测到 2 年

原文 ↗ Hacker News 讨论 ↗

一款新披露的 Linux rootkit 在约两年内未被发现，引发了人们对攻击者如何维持隐蔽命令与控制通道的审视，通常会滥用常见协议、云服务以及宽松的出站防火墙规则。评论者探讨这类恶意软件通常如何站稳脚跟——通过存在漏洞的对外服务、弱 SSH、被污染的更新或用户失误——并指出传统杀毒软件和 `chkrootkit` 等工具对定制 rootkit 几乎无能为力。讨论进一步扩展到对 Linux 桌面安全态势的批评，并将其与 Windows 和 macOS 对比，同时评估更严格的出站控制、沙箱、SELinux/AppArmor、QubesOS 以及更好的终端防护等缓解手段。

出站流量与出站控制

  • 若干评论聚焦于该恶意软件隐藏的出站端口，并指出大多数环境会严格限制入站流量，但几乎允许所有出站流量。
  • 建议的缓解措施：
    • 记录并建立常见出站端口基线，然后封锁其余端口并观察哪些服务受影响。
    • 减少“背景噪音”（例如持续的 DNS ping、对外 NTP），并将服务迁移到内部。
    • 应用按时间段的防火墙规则，使任何东西夜间都不能与互联网通信，但保留紧急覆盖规则。
  • 有人认为，如果出站策略更严格，许多事件（例如 Log4Shell 利用）造成的损害会小得多。

命令与控制（C2）通道

  • 多条评论指出，现实中的恶意软件常将 C2 藏在 443 端口的 HTTPS 中，并借助大型服务提供商（Cloudflare、大型云厂商、Google 服务）。
  • 像“只允许连接 FAANG 或 Cloudflare 的 HTTPS”这样的方案被批评为无效，因为攻击者可以直接通过这些提供商对 C2 做前置。
  • 有报告和示例称，Cloudflare Workers 及类似基础设施被用于 C2 和 DDoS；有人声称下架很慢；也有人反驳并要求提供具体证据，随后通过链接报告得到部分支持。
  • 域前置、使用 Google Drive/Docs/Apps Script，以及“奇怪协议”（例如 SCTP）都被提及为规避 C2 检测的技术。

感染途径与目标选择

  • 据称，文章中的研究人员并不知道最初的感染路径；列出的可能向量包括漏洞利用、凭据窃取/猜测，以及被木马化的安装程序/更新。
  • 其他可能途径：面向物联网 Linux 设备的弱 SSH 或未认证 SSH，以及 Web 应用/框架中的漏洞。
  • 有人推测，这个 RAT 可能是早期入侵后的后期持久化机制，因此在数年后很难重建最初入口。
  • 针对电信行业并使用新颖协议，使一些人猜测可能是国家行为体；也有人指出这同样可能只是“低垂果实”或商业犯罪。

Rootkit 与持久化技术

  • 评论者指出，自 1990 年代末以来，Linux rootkit 的模式并没有发生多大变化：二进制替换、内核 syscall hook，以及用户态 hook（例如 LD_PRELOAD）。
  • 在多个内核版本上维持内核 rootkit 被描述为非常痛苦；一些操作者因此更偏好更简单的用户态后门。
  • 提到的技巧包括用 prctl 重命名进程，使其看起来像内核线程，以及创建难以察觉的文件系统痕迹（例如 ... 目录）。
  • 除非配置得极其严格，否则一旦攻击者已经拥有 ring-0 执行权限，Secure Boot 被认为并不足够。

Linux 桌面安全态势

  • 关于桌面 Linux 是否对国家级攻击者“更容易”存在争论，因为许多用户没有 AV/EPP，并且会通过 curl | sudo bash 或语言特定包管理器安装软件。
  • 有人认为 AV 对未知 rootkit/APT 基本无效，主要只能匹配已知模式；攻击者可以轻松重新编译以绕过签名。
  • 另一些人反驳说，现代 Endpoint Protection 使用启发式/机器学习和行为指标，能阻止许多现成载荷并抬高门槛，尤其是在 Windows 上。
  • 多条评论强调典型 Linux 桌面的结构性弱点：
    • X11 允许全局键盘记录。
    • 以用户身份运行的任何应用通常都能完全访问主目录。
    • 没有类似现代 macOS/Windows 那种主流、对用户友好的按应用文件权限模型。
  • 一旦恶意软件能够写入用户主目录，它就可以修改 shell 启动文件、包装 sudo、窃取 SSH 密钥或劫持配置；此时提权到 root 往往只是时间问题，或者对数据窃取来说甚至并非必要。

Linux 上的杀毒 / EPP

  • 关于在 Linux 桌面上运行 AV/EPP 是否值得，存在分歧。
    • 批评者：AV 必须以极高权限运行，会增加攻击面，而且对有能力的对手几乎没有防御作用。
    • 支持者：安全是分层的；即便不完美，EPP 也能捕获许多已知载荷和常见工具包（Metasploit、重新编码的二进制文件），而且在桌面上使用摩擦较低。
  • 提到了 Ubuntu 对 ClamAV 的支持；不过它被描述为主要基于签名，并聚焦已知恶意软件（通常是 Windows 恶意软件），对新的 Linux 威胁价值有限。

包管理与供应链风险

  • 若干评论将发行版包管理器（带 GPG 签名仓库）与 pip/npm/cpan 等生态工具进行对比，后者往往只依赖 TLS，来源证明更弱。
  • 入侵发行版仓库被认为更难且更显眼（许多密钥、GPG 校验，可能使用 Certificate Transparency）；而语言级包更容易被劫持或替换。
  • 有人提出恶意更新或被弃置包（例如“left-pad”式事件）的风险；lockfile 有帮助，但也会延迟安全补丁。
  • 对于高端对手，拦截流量并使用恶意 TLS 证书被提及为一种风险，但 GPG 签名和 CT 日志会使这类攻击复杂化。

检测工具与替代架构

  • 传统工具如 chkrootkit 被认为在现代用途上较为有限；复杂恶意软件可以规避简单的基于签名扫描器。
  • 一些人将目光转向架构性解决方案：
    • Qubes OS（按任务/应用进行强 VM 隔离），不过其普及度和代码库规模是问题。
    • ChromeOS，因为其锁定式模型，不过与 Google 强绑定。
    • “Minimax” Debian，其中大多数用户应用在专用 VM 内运行。