Singularity : le rootkit Linux qui contourne Elastic Defend
- Le rootkit Singularity parvient à contourner les détections d'Elastic Defend sur Linux.
- L'attaque exploite la gestion des processus de confiance via les cartes eBPF pour supprimer la télémétrie.
- Des techniques d'obfuscation, de fragmentation et de randomisation des symboles neutralisent les règles YARA.
- Cette vulnérabilité souligne la fragilité des outils d'observabilité basés sur eBPF face à des menaces au niveau du noyau.
La course aux armements entre les solutions de détection et de réponse aux points de terminaison (EDR) et les acteurs malveillants vient de franchir un nouveau palier sur les systèmes Linux. Le chercheur en sécurité 0xMatheuZ a révélé l'existence de Singularity, un rootkit capable de neutraliser les mécanismes de surveillance d'Elastic Defend, l'un des outils les plus robustes du marché pour la protection des serveurs.
L'enjeu est critique car la plupart des infrastructures cloud et des serveurs d'entreprise reposent sur Linux. Jusqu'à présent, l'intégration de technologies comme eBPF (Extended Berkeley Packet Filter) était perçue comme une avancée majeure, offrant une visibilité profonde et performante sur les activités du noyau. Cependant, Singularity démontre que cette même technologie peut être retournée contre le système de défense.
L'échec des couches de détection traditionnelles
Dans un environnement standard équipé de l'agent Elastic, l'installation d'un rootkit déclenche normalement une réaction immédiate. Lors de tests effectués sur Ubuntu avec un noyau 6.8 et Elastic Defend 9.5.2, le chargement de Singularity sans aucune modification a généré jusqu'à 76 alertes. Ces détections proviennent principalement de deux sources : les signatures YARA, qui analysent les fichiers sur le disque, et la surveillance comportementale en temps réel via eBPF.
Le chercheur a identifié plusieurs règles YARA spécifiques, telles que Linux_Rootkit_Generic ou Linux_Rootkit_BrokePKG, qui ciblent les motifs communs et les noms de fonctions typiques des rootkits. Pour contourner ce premier rempart, Singularity n'utilise pas une seule méthode, mais une combinaison de techniques d'obfuscation. Le rootkit fragmente son module, utilise l'encodage XOR et charge les composants directement en mémoire via memfd_create, évitant ainsi que le fichier malveillant ne soit analysé sur le disque.
Le mécanisme de contournement eBPF
La véritable prouesse de Singularity réside dans sa capacité à aveugler la télémétrie d'Elastic Defend. Depuis la version 8.14, Elastic surveille le chargement des modules du noyau via un mécanisme basé sur BPF. La version 9.5 a même introduit un champ taint_flags pour identifier les modules non signés ou potentiellement dangereux qui pourraient polluer le noyau.
L'attaque exploite une faille logique dans la gestion des processus de confiance. Le programme eBPF d'Elastic vérifie si l'identifiant du processus actuel figure dans une carte (map) de processus approuvés avant de collecter les informations de chargement du module. Si le processus est jugé fiable, le programme BPF s'arrête prématurément. Singularity parvient à s'insérer dans ce flux en localisant dynamiquement la carte BPF appropriée, contournant ainsi la génération d'événements qui alimenteraient normalement les règles de détection.
L'évasion standard consiste à éviter d'être vu. Le poisonnement des cartes BPF fait l'inverse : il consiste à entrer dans l'EDR et à réécrire directement son état de surveillance.
Une stratégie d'évasion multi-couches
Pour garantir son invisibilité, le rootkit ne se contente pas de manipuler eBPF. Il déploie une stratégie systématique pour neutraliser chaque vecteur d'alerte. Le processus se décompose en plusieurs étapes techniques :
D'abord, la randomisation intelligente des noms de symboles empêche les scanners de reconnaître les fonctions malveillantes. Ensuite, l'obfuscation du framework Ftrace, utilisé pour intercepter les appels système, permet de masquer les activités de hooking. Enfin, Singularity utilise un chargeur personnalisé qui fragmente le module et le décode en mémoire, rendant les signatures statiques totalement inefficaces. Cette approche permet de réduire drastiquement le nombre d'alertes, passant de dizaines de notifications à un silence quasi total.
L'obsession de la furtivité au niveau du noyau
Le travail de 0xMatheuZ, détaillé sur son site MatheuZ Security, montre que la sécurité basée sur l'observabilité a un point faible : la confiance accordée aux processus privilégiés. En manipulant les structures de données internes de l'agent de sécurité, l'attaquant ne se cache plus derrière un rideau, mais modifie la vision même de l'observateur.
Cette technique de poisonnement des cartes BPF n'est pas isolée. Des recherches similaires ont été menées sur d'autres outils comme Falco, prouvant que tout capteur eBPF qui stocke son état de surveillance dans des cartes sans une application stricte de security_bpf_map est vulnérable. Le rootkit ne cherche plus à éviter les syscalls ou à utiliser des appels directs pour sauter les hooks de la libc, il s'attaque à la source de la vérité télémétrique.
L'impact pour les entreprises et le paysage tech français
Pour le tissu entrepreneurial français, particulièrement les scale-ups de la French Tech et les acteurs du cloud souverain, cette découverte est un signal d'alarme. La France, via le plan France 2030, investit massivement dans la numérisation et l'IA, augmentant ainsi la surface d'attaque des infrastructures serveurs.
L'adoption croissante de l'AI Act impose une rigueur accrue dans la gestion des données et la sécurité des systèmes. Si des rootkits comme Singularity peuvent neutraliser les EDR, la traçabilité et l'intégrité des données utilisées pour entraîner des modèles d'IA pourraient être compromises sans laisser de traces. Les entreprises françaises, souvent dépendantes de solutions de sécurité tierces, doivent comprendre que la confiance aveugle dans un outil de monitoring eBPF est un risque.
L'enjeu pour les RSSI locaux est désormais de passer d'une sécurité périmétrique ou basée sur des agents à une stratégie de défense en profondeur. Cela implique de ne pas se reposer uniquement sur la télémétrie du noyau, mais de croiser les données avec des analyses de flux réseau et des audits d'intégrité hors-ligne. Dans un contexte où la souveraineté numérique est une priorité nationale, la capacité à détecter des menaces capables d'aveugler les outils de surveillance standards devient un avantage stratégique majeur.
Pour approfondir les recherches sur ces vecteurs d'attaque, les professionnels peuvent consulter les analyses techniques sur matheuzsecurity.github.io.
Questions fréquentes
Qu'est-ce que le rootkit Singularity ?
C'est un rootkit Linux conçu pour s'infiltrer dans le noyau et contourner les systèmes de détection comme Elastic Defend en manipulant la télémétrie eBPF.
Comment Singularity contourne-t-il Elastic Defend ?
Il utilise plusieurs méthodes : la randomisation des symboles et la fragmentation pour éviter YARA, et le poisonnement des cartes eBPF pour supprimer les alertes de chargement de modules.
eBPF est-il devenu dangereux pour la sécurité ?
Non, eBPF reste un outil puissant d'observabilité. Cependant, Singularity montre que si les cartes BPF ne sont pas sécurisées, un attaquant avec des privilèges noyau peut modifier l'état de surveillance de l'EDR.
Quelles mesures les entreprises peuvent-elles prendre ?
Il est recommandé de ne pas se fier à un seul outil de détection, d'appliquer le principe du moindre privilège et de surveiller l'intégrité du noyau via des mécanismes indépendants de l'agent EDR.
Sources: Gbhackers, Matheuzsecurity (2) ·
Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
