Hotdry.
归档
security

Singularity：基于Ftrace Hook的现代Linux内核Rootkit技术解析

深入分析Singularity开源Linux内核rootkit的ftrace hook机制、多维度隐藏技术与对抗性防御策略，探讨现代内核安全防护的工程实现。

在 Linux 安全研究领域，rootkit 技术一直代表着攻防对抗的最前沿。近日，安全研究员 Matheus Alves 开源了一个名为 Singularity 的 Linux 内核 rootkit，该项目不仅展示了现代内核 hook 技术的最新进展，更为安全研究人员提供了一个研究内核级隐身技术的宝贵平台。本文将深入解析 Singularity 的技术架构、实现机制，并探讨针对此类高级 rootkit 的检测与防御策略。

技术背景与开源意义

Singularity 是一个针对现代 Linux 6.x 内核设计的可加载内核模块（LKM）rootkit。与传统的闭源恶意软件不同，Singularity 完全开源，这为安全社区带来了双重价值：一方面，防御者可以深入研究其实现机制，开发更有效的检测方法；另一方面，研究人员可以基于此项目探索内核安全的前沿技术。

该项目在 GitHub 上公开了完整源代码，支持 x64 和 ia32 架构，已在多个主流 Linux 发行版上测试通过，包括 Ubuntu 22.04/24.04、CentOS Stream 10、Debian 13 和 Fedora 43 等。作者明确强调，Singularity 仅用于教育和研究目的，旨在回答一个核心问题："如果一个 rootkit 成功渗透并加载到系统中，它能够隐藏到什么程度？"

核心 Hook 机制：Ftrace 基础设施

Singularity 最显著的技术特点是其基于 ftrace 的系统调用 hook 机制。Ftrace 是 Linux 内核内置的跟踪框架，原本用于性能分析和调试，但 Singularity 巧妙地将其转化为 hook 基础设施。

Ftrace Hook 实现原理

传统的 rootkit 通常使用 kprobes 或直接修改系统调用表（syscall table）来实现 hook，但这些方法在现代内核中越来越容易被检测。Singularity 采用 ftrace 的 function tracer 功能，通过修改函数入口点的指令来重定向执行流。具体实现包括：

  1. 函数地址获取：使用kallsyms_lookup_name获取目标系统调用函数的地址
  2. 指令修补：在函数入口处插入跳转指令，指向自定义的 hook 函数
  3. 上下文保存：保存原始函数指针，确保正常功能可以继续执行
  4. 多架构支持：同时支持 x86_64（__x64_sys_*）和 ia32（__ia32_sys_*、__ia32_compat_sys_*）架构

Hook 保护机制

为了防止检测和干扰，Singularity 实现了多层保护：

  • Ftrace 控制保护：拦截所有尝试禁用 ftrace 的操作，即使echo 0 > /proc/sys/kernel/ftrace_enabled显示成功，实际上不会生效
  • BPF 系统调用拦截：阻止 eBPF 跟踪操作，包括 BPF_PROG_LOAD、BPF_ITER_CREATE 等关键操作
  • io_uring 保护：防止通过异步 I/O 绕过 ftrace 控制，采用智能的每进程缓存机制减少开销

多维度隐藏技术解析

进程隐藏实现

Singularity 的进程隐藏机制极为全面，从多个层面确保进程不可见：

  1. /proc 文件系统过滤：hook getdents、getdents64系统调用，过滤目录列表中的 PID 条目
  2. 进程信息隐藏：拦截stat、lstat、statx等调用，隐藏进程元数据
  3. 进程关系隐藏：hook getsid、getpgid、getpgrp等调用，对隐藏进程返回 ESRCH 错误
  4. 子进程自动跟踪：通过sched_process_fork tracepoint hook 自动跟踪并隐藏子进程
  5. cgroup 过滤：从/sys/fs/cgroup/*/cgroup.procs中过滤隐藏的 PID

隐藏进程可以通过信号触发：kill -59 <PID>即可使目标进程从所有监控工具中消失。

文件系统隐藏

文件隐藏采用模式匹配机制，支持文件和目录的完全隐藏：

// 示例配置模式
#define HIDDEN_PATTERNS {"singularity", "backdoor", "malware"}

隐藏机制包括：

  • 目录列表过滤：hook getdents/getdents64，过滤匹配模式的文件名
  • 元数据隐藏：拦截stat系列调用，隐藏文件属性
  • 路径访问阻止：hook chdir防止进入隐藏目录
  • 原始磁盘过滤：hook write系统调用，检测并过滤 debugfs 等磁盘取证工具的输出

网络连接隐藏

网络隐藏是 Singularity 的另一大亮点，它从多个层面隐藏 TCP/UDP 连接：

  1. /proc/net 接口过滤：hook tcp4_seq_show、tcp6_seq_show、udp4_seq_show、udp6_seq_show，过滤连接信息
  2. 原始套接字层过滤：hook tpacket_rcv，在数据包层面丢弃相关流量
  3. 连接跟踪隐藏：过滤/proc/net/nf_conntrack输出
  4. Netlink 消息过滤：拦截 SOCK_DIAG 和 NETFILTER/conntrack 的 netlink 消息

这使得netstat、ss、lsof、conntrack等工具都无法发现隐藏的连接。

权限提升机制

Singularity 提供多种权限提升方式：

  1. 环境变量触发：设置MAGIC=mtz后执行 bash，立即获得 root 权限
  2. 信号触发：kill -59 $$使当前 shell 变为 root
  3. ICMP 反向 shell：通过 ICMP 数据包远程触发，自动绕过 SELinux 强制模式

日志与审计规避

内核日志过滤

Singularity 实时过滤所有内核日志接口：

接口 Hook 点 状态
dmesg /proc/kmsg 的 read hook ✅ 已过滤
journalctl -k write hook（输出过滤） ✅ 已过滤
klogctl()/syslog() do_syslog hook ✅ 已过滤
/sys/kernel/debug/tracing/* read hook ✅ 已过滤

过滤的关键词包括：taint、journal、singularity、matheuz、hook 等。

审计消息丢弃

在 netlink 层面丢弃隐藏进程的审计消息，同时维护统计信息（get_blocked_audit_count、get_total_audit_count），避免引起怀疑。

内存取证规避

通过过滤/proc/kcore、/proc/kallsyms、/proc/vmallocinfo等接口，阻止 Volatility、crash、gdb 等内存取证工具发现 rootkit 痕迹。

防御与检测策略

传统检测工具的局限性

Singularity 能够绕过大多数传统安全工具：

  • 进程监控：ps、top、htop
  • 文件系统工具：ls、find、locate
  • 网络工具：netstat、ss、lsof、tcpdump
  • rootkit 检测器：unhide、chkrootkit、rkhunter
  • 模块检测：lsmod、modinfo、/sys/module

基于时序异常的检测方法

根据 2025 年 arXiv 上的一篇研究论文《Rootkit Detection through Temporal Anomalies in Kernel Activity》，可以利用 rootkit 注入代码导致函数执行时间增加的原理进行检测。该方法的核心思想是：

  1. 注入探针：在内核函数中插入时间戳测量点
  2. 收集数据：统计函数执行时间的分布
  3. 统计分析：使用统计检验检测时间偏移
  4. 异常告警：当执行时间显著增加时触发告警

该方法的 F1 分数达到 98.7%，能够有效检测未知 rootkit。

工程化防御建议

针对 Singularity 这类高级 rootkit，建议采取以下防御措施：

  1. 内核完整性保护：

    • 启用 Secure Boot 和内核模块签名验证
    • 使用 LOCK_DOWN 内核特性限制内核功能
    • 配置模块加载黑名单

  2. 运行时监控：

    • 部署基于 eBPF 的运行时安全监控（如 Tracee）
    • 监控 ftrace 配置变更
    • 检测异常的系统调用模式

  3. 审计强化：

    • 启用内核审计子系统并配置严格策略
    • 监控 netlink 消息丢弃统计
    • 定期检查内核 taint 标志

  4. 文件系统保护：

    • 使用只读根文件系统或 dm-verity
    • 部署文件完整性监控（如 AIDE、Tripwire）
    • 定期进行文件系统一致性检查

  5. 网络层防御：

    • 部署网络入侵检测系统（NIDS）
    • 监控异常的 ICMP 流量模式
    • 使用网络流量基线分析

总结与展望

Singularity 作为开源 rootkit 的代表作，展示了现代内核 hook 技术的高度成熟。其基于 ftrace 的 hook 机制、多维度的隐藏能力、以及对现代安全工具的规避技术，都为安全研究提供了宝贵的学习材料。

从防御角度看，Singularity 的出现提醒我们，传统的基于签名的检测方法已经不足以应对高级威胁。未来的安全防御需要更多依赖行为分析、异常检测和零信任架构。同时，开源安全研究工具的涌现，如 Singularity，实际上促进了整个安全生态的进步 —— 只有了解攻击者的最新技术，才能构建更有效的防御体系。

对于安全从业者而言，研究 Singularity 这样的项目不仅有助于理解内核安全机制，更能培养对抗性思维。正如项目作者所言："Be a researcher, not a criminal." 在安全领域，知识本身是中性的，关键在于如何使用它。

参考资料

  1. Singularity GitHub 仓库：https://github.com/MatheuZSecurity/Singularity
  2. 研究文章：Singularity: A Final Boss Linux Kernel Rootkit - https://blog.kyntra.io/Singularity-A-final-boss-linux-kernel-rootkit
  3. EDR 规避案例研究：Bypassing Elastic EDR with Singularity - https://matheuzsecurity.github.io/hacking/bypassing-elastic/
  4. 学术论文：Rootkit Detection through Temporal Anomalies in Kernel Activity - arXiv:2503.02402
查看归档