Singularity, un sofisticado rootkit para el kernel de Linux diseñado para versiones del kernel 6.x, ha captado la atención significativa de la comunidad de ciberseguridad por sus avanzados mecanismos de sigilo y poderosas capacidades. Este módulo del kernel representa una preocupante evolución en la tecnología de rootkits, ofreciendo múltiples vectores de ataque y técnicas de evasión exhaustivas que desafían a los sistemas de detección actuales.

Singularity, un sofisticado rootkit para el kernel de Linux diseñado para versiones 6.x del kernel, ha recibido una atención significativa por parte de la comunidad de ciberseguridad debido a sus avanzados mecanismos de sigilo y potentes capacidades.

Este módulo de kernel representa una preocupante evolución en la tecnología de rootkits, ofreciendo múltiples vectores de ataque y técnicas de evasión integrales que desafían a los sistemas de detección actuales.

El rootkit opera a nivel de kernel utilizando la arquitectura Linux Kernel Module (LKM), lo que lo hace excepcionalmente difícil de detectar y eliminar.

Creado por el investigador de seguridad MatheuZSecurity, Singularity aprovecha la infraestructura ftrace para interceptar llamadas al sistema, dando efectivamente a los atacantes el control total sobre los sistemas Linux mientras permanece invisible para herramientas de seguridad y administradores.

Singularity combina la ocultación de procesos, la ocultación de archivos y el sigilo en la red en una única plataforma unificada. El malware puede ocultar cualquier proceso en ejecución, eliminar archivos de los listados de directorios, enmascarar conexiones de red y escalar instantáneamente los privilegios a root.

Su operación a nivel de kernel permite el filtrado de registros en tiempo real, evitando que aparezcan rastros de su presencia en los registros del sistema o en la salida de depuración del kernel.

Analistas de GitHub e investigadores señalaron que Singularity introduce varias funciones sin precedentes diseñadas específicamente para evitar las herramientas de seguridad empresariales, incluidas las soluciones de detección y respuesta de endpoints (EDR).

El rootkit incluye mecanismos para bloquear la monitorización de seguridad basada en eBPF, desactivar las protecciones io_uring e impedir la carga de módulos de kernel legítimos, creando múltiples barreras para la detección.

Ofrece capacidades sofisticadas

El malware proporciona acceso remoto a través de una shell inversa activada por ICMP. Los atacantes pueden enviar paquetes ICMP especialmente diseñados que contienen una secuencia mágica para establecer conexiones ocultas de comando y control que permanecen completamente invisibles para herramientas de monitorización de red como netstat, tcpdump y analizadores de paquetes.

Todos los procesos secundarios generados a través de este canal heredan automáticamente las propiedades de ocultación.

La evasión de detección de Singularity va más allá de la simple ocultación. El rootkit intercepta y filtra activamente los intentos de desactivar ftrace, neutralizando efectivamente uno de los principales marcos de monitorización de Linux.

Supervisa más de 15 llamadas al sistema sensibles relacionadas con la E/S de archivos, incluidas write, splice, sendfile y copy_file_range.

Cualquier proceso que intente acceder a estas funciones recibe una retroalimentación inmediata que indica éxito, mientras que el rootkit previene silenciosamente la ejecución real.

El mecanismo de "taint" del kernel, que marca el comportamiento sospechoso del kernel, se normaliza continuamente por el hilo de limpieza de tainted_mask de Singularity. Esto impide que los analistas forenses detecten modificaciones no autorizadas del kernel.

Combinado con una agresiva sanitización de registros que filtra palabras clave como taint, journal y kallsyms_lookup_name, Singularity deja casi ninguna evidencia forense de su operación en los sistemas comprometidos.

Las pruebas revelan que el rootkit evade con éxito las herramientas de detección estándar, incluidas unhide, chkrootkit y rkhunter.

Su compatibilidad con múltiples arquitecturas (x64 e ia32) y su soporte para diversas versiones del kernel lo convierten en una amenaza flexible en diversos despliegues de Linux.

Los equipos de seguridad deben considerar estos hallazgos críticos al evaluar su postura de seguridad de Linux.