Malware · 63 giorni fa
Il punto non è solo che il malware si nasconde. È che può alterare la risposta degli strumenti usati per leggere socket e stato del kernel, quindi una triage basata su ss, bpftool, ptrace e simili può risultare affidabile solo in apparenza anche sulla macchina locale.
Datadog analizza VoidLink, LinkPro e Atomic Arch, tutti in grado di abusare di helper eBPF legittimi come bpf_probe_write_user per riscrivere memoria in user space e svuotare di senso l’output di tool di introspezione. Il report mostra una detection a load time, prima che il rootkit possa usare quel vantaggio per nascondere connessioni attive e altri segnali di compromissione.
Per chi difende host Linux, il confine utile si sposta: non basta interrogare il sistema dopo il fatto e fidarsi di ciò che restituisce. Conta capire come il programma eBPF usa gli helper già al caricamento.
1 fonte che coprono questa storia
Detection primitives for eBPF rootkits | Datadog Security Labs
We analyze how VoidLink, LinkPro, and Atomic Arch abuse eBPF helpers to hide from defenders, and show how to detect them at load time, before they can act.
Part of the PlainSec briefing for 2026-07-27