Il punto non è solo che il malware si nasconde. È che può alterare la risposta degli strumenti usati per leggere socket e stato del kernel, quindi una triage basata su ss, bpftool, ptrace e simili può risultare affidabile solo in apparenza anche sulla macchina locale.
Datadog analizza VoidLink, LinkPro e Atomic Arch, tutti in grado di abusare di helper eBPF legittimi come bpf_probe_write_user per riscrivere memoria in user space e svuotare di senso l’output di tool di introspezione. Il report mostra una detection a load time, prima che il rootkit possa usare quel vantaggio per nascondere connessioni attive e altri segnali di compromissione.
Per chi difende host Linux, il confine utile si sposta: non basta interrogare il sistema dopo il fatto e fidarsi di ciò che restituisce. Conta capire come il programma eBPF usa gli helper già al caricamento.