eBPF (extended Berkeley Packet Filter) เป็นเทคโนโลยีที่ได้รับการยอมรับใน Linux kernel มานาน แต่ขณะนี้ถูกนำมาใช้ในรูปแบบของ Rootkit ที่กลุ่มผู้ไม่หวังดีเริ่มให้ความสนใจ
จุดเริ่มต้นของการตื่นตัวครั้งใหญ่คือในปี 2022 เมื่อ PwC และ Elastic Security Labs ได้บันทึกถึง BPFDoor ซึ่งเป็น Linux backdoor ที่ถูกระบุว่ามาจากกลุ่มภัยคุกคามชาวจีนที่ติดตามในชื่อ Red Menshen
การโจมตีนี้ใช้ประโยชน์จาก BPF โดยการดักจับการเรียกไปยัง setsockopt() และเพิ่มคำสั่ง filter ของตนเองเข้าไปเพื่อซ่อนการรับส่งข้อมูลบางส่วนจากการดักจับแพ็กเก็ต
การใช้งานขั้นสูงยังรวมถึงการใช้ XDP เพื่อตรวจสอบทราฟฟิก HTTP ที่เข้ามาแบบ plaintext และทิ้งแพ็กเก็ตที่ตรงกับรายชื่อ IP 43 แห่งที่ผู้เขียนเชื่อมโยงกับผู้ให้บริการป้องกันไวรัส
การตรวจจับนั้นยากมาก เนื่องจากโปรแกรม eBPF ที่ผ่านการตรวจสอบของ kernel จะดูเหมือนโปรแกรมที่ได้รับอนุญาตทั่วไป ดังนั้นการป้องกันจึงต้องมุ่งเน้นไปที่การเฝ้าดู bpf() syscalls และการติดตามโปรแกรมที่โหลดผ่าน bpftool
ผู้ป้องกันควรแสวงหาข้อมูลภัยคุกคามใหม่ๆ เพื่อปรับการตรวจจับและบังคับใช้ให้สามารถบล็อกมัลแวร์ที่ใช้ eBPF ได้อย่างทันท่วงที
ศัพท์ที่ควรรู้
- eBPF (extended Berkeley Packet Filter) – เป็นเทคโนโลยีที่ใช้ในการกรองแพ็กเก็ตใน Linux kernel
- Rootkit – ชุดเครื่องมือที่ถูกติดตั้งเพื่อซ่อนการทำงานของมัลแวร์ในระบบปฏิบัติการ
- BPFDoor – คือ Linux backdoor ที่ถูกค้นพบในปี 2022 และใช้ประโยชน์จาก BPF
- XDP – คือเทคนิคที่ใช้ในการตรวจสอบทราฟฟิกที่เข้ามาในระดับต่ำของเครือข่าย
- CVE-2017-16995 – คือช่องโหว่ใน Linux BPF verifier ที่ถูกโจมตีในครั้งนี้
ที่มา: bleepingcomputer.com