Furtex es un nuevo proyecto de código abierto diseñado como un kit de herramientas de investigación para la evasión y post-explotación en Linux, destinado a operadores de red-team e investigadores de seguridad autorizados. Este proyecto integra utilidades de evasión de EDR, herramientas BPF y eBPF, y llamadas al sistema io_uring, destacando que no depende de liburing ni de marcos de trabajo más extensos.

Un nuevo proyecto de código abierto, Furtex, ha surgido como un kit de herramientas de investigación de evasión y post-explotación centrado en Linux para operadores de red-team e investigadores de seguridad autorizados.

El proyecto combina llamadas al sistema io_uring puras, herramientas BPF y eBPF, y utilidades de investigación de evasión de EDR sin depender de liburing ni de marcos de trabajo más extensos.

Furtex es una colección de herramientas de propósito único diseñadas para demostrar cómo se pueden probar las defensas de los endpoints, el monitoreo del kernel y la telemetría moderna de Linux.

El repositorio establece explícitamente que es solo para investigación autorizada, pruebas de penetración, entornos CTF y desarrollo defensivo.

Furtex: Kit de Herramientas de Post-Explotación para Linux

Furtex se divide en cinco áreas principales: io_uring, bpf, ebpf, edrs y técnicas. La sección de io_uring contiene 13 herramientas que utilizan interfaces del kernel puras para operaciones de archivos, redes, inyección de procesos y transferencia de datos.

Su enfoque de investigación declarado es la brecha de visibilidad que se crea cuando las operaciones se envían a través de colas de trabajo de io_uring en lugar de las rutas tradicionales de despacho de syscalls.

El proyecto afirma que ciertas operaciones de io_uring podrían no activar los puntos de traza sys_enter_* ni pasar por los ganchos (hooks) colocados en las funciones de despacho de la tabla de syscalls.

Esto es importante porque los productos de seguridad a menudo recopilan la telemetría de Linux mediante el rastreo de syscalls, kprobes, programas eBPF, reglas de auditoría o interceptación en el espacio de usuario.

Furtex proporciona ejemplos diseñados para ayudarte a evaluar si tu pila de monitoreo observa rutas alternativas de ejecución del kernel.

Los componentes BPF y eBPF amplían esa capacidad de evaluación. Furtex incluye utilidades para enumerar mapas y programas BPF cargados, revisar enlaces BPF, detectar ganchos del Módulo de Seguridad de Linux e inspeccionar configuraciones que podrían exponer brechas en el monitoreo del endpoint.

También incluye programas de prueba de concepto eBPF para monitorear la actividad de procesos, red, rutas de credenciales y terminales. Su directorio más grande, edrs, incluye aproximadamente 75 utilidades categorizadas por requisitos de privilegios.

Estas herramientas cubren el reconocimiento de EDR, el descubrimiento de programas BPF, la enumeración de hooks del kernel, pruebas de visibilidad de auditoría y registros, actividad de namespaces, enmascaramiento de procesos, conceptos de ejecución basados en memoria y experimentos de canales de red.

Varias funciones requieren capacidades elevadas de Linux como CAP_BPF, CAP_PERFMON, CAP_NET_RAW, CAP_NET_ADMIN o CAP_AUDIT_CONTROL.

Desarrollado por MatheuZSecurity y disponible en GitHub, Furtex incluye un directorio de techniques centrado en la ingeniería de detección de Falco.

El repositorio describe herramientas que evalúan condiciones de bypass contra el conjunto de reglas predeterminado de Falco, incluyendo escenarios que involucran la recopilación de eventos, nombres de procesos, rutas, namespaces y métodos de ejecución alternativos.

Para los defensores, estas pruebas pueden identificar detecciones que dependen demasiado de una única fuente de eventos, un nombre de proceso o un patrón de línea de comandos.

El kit de herramientas requiere GCC, Clang, Make, cabeceras del kernel de Linux, archivos de desarrollo de libbpf y bpftool. Algunas funciones de eBPF también dependen del soporte BTF del kernel mediante CONFIG_DEBUG_INFO_BTF=y.

Furtex documenta las dependencias de la versión del kernel, señalando que características particulares están disponibles en versiones del kernel de Linux desde la 5.4 hasta la 5.19. Aunque Furtex puede ser útil para validar la cobertura de EDR en Linux, sus capacidades son de doble uso y de alto riesgo.

Tú y tu equipo de seguridad deberían tratar este proyecto como un recurso de modelado de amenazas: monitorea la actividad de io_uring, rastrea los cambios en los enlaces y programas BPF, alerta sobre el uso inusual de capacidades, protege las configuraciones de auditoría y correlaciona los eventos del kernel de bajo nivel con la telemetría de red y procesos.