Pumakit, un nouveau Rootkit pas comme les autres

[Juanito]

Pumakit : Le Nouveau Rootkit Linux qui Échappe à la Détection

Un nouveau rootkit Linux, nommé Pumakit, a récemment été découvert par les chercheurs de Elastic Security. Ce malware utilise des techniques avancées pour rester discret sur les systèmes infectés, ce qui le rend particulièrement difficile à détecter.
 
Architecture et Fonctionnement

Pumakit est un malware à plusieurs composants, comprenant un dropper, des exécutables résidents en mémoire, un module noyau rootkit (LKM) et un rootkit utilisateur (SO). Le processus d'infection commence par un programme nommé cron, qui exécute des charges utiles entièrement en mémoire. Ces charges utiles effectuent des vérifications environnementales et manipulent l'image du noyau avant de déployer le module LKM.


Techniques de Furtivité

L'une des caractéristiques les plus remarquables de Pumakit est son utilisation de la fonction kallsyms_lookup_name() pour manipuler le comportement du système. Ce rootkit cible spécifiquement les noyaux Linux antérieurs à la version 5.7, car les versions plus récentes ne supportent pas cette fonction. Pumakit utilise également ftrace pour hooker 18 appels syscall et plusieurs fonctions du noyau, lui permettant de cacher des fichiers, des répertoires et même son propre processus.


Impact et Détection
 
Pumakit peut élever ses privilèges, exécuter des commandes et dissimuler des processus. Il utilise des fonctions du noyau telles que prepare_creds et commit_creds pour modifier les informations d'identification des processus et accorder des privilèges root. Pour détecter ce malware, Elastic Security a publié des règles YARA et des signatures de détection


Pour conclure
 
Pumakit représente une menace sérieuse pour les systèmes Linux, en particulier ceux utilisant des noyaux plus anciens. Les administrateurs de systèmes doivent rester vigilants et mettre en place des mesures de sécurité robustes pour protéger leurs infrastructures critiques.


Sources:
 
https://www.it-connect.fr/pumakit-un-nou...iscretion/
https://www.techzine.eu/news/security/12...de-itself/
https://thehackernews.com/2024/12/new-li...anced.html