Los investigadores de ciberseguridad han demostrado un rootkit de prueba de concepto (POC) doblado Curaci\u00f3n<\/a> que aprovecha un mecanismo de E\/S as\u00edncrono de Linux llamado io_uring<\/a> para evitar el monitoreo tradicional de llamadas del sistema.<\/p>\n Esto causa un “punto ciego importante en las herramientas de seguridad de tiempo de ejecuci\u00f3n de Linux”, dijo Armo.<\/p>\n “Este mecanismo permite que una aplicaci\u00f3n de usuario realice varias acciones sin usar llamadas al sistema”, la empresa dicho<\/a> En un informe compartido con The Hacker News. “Como resultado, las herramientas de seguridad que se basan en el monitoreo de llamadas del sistema son ciegas ‘a RootKits que trabajan \u00fanicamente en io_uring”.<\/p>\n io_uring, primero introducido<\/a> En Linux Kernel versi\u00f3n 5.1 en marzo de 2019, es una interfaz de llamadas al sistema de kernel de Linux que empleo<\/a> Dos buffers circulares llamaron a una cola de env\u00edo (SQ) y una cola de finalizaci\u00f3n (CQ) entre el n\u00facleo y una aplicaci\u00f3n (es decir, espacio de usuario) para rastrear la presentaci\u00f3n y finalizaci\u00f3n de las solicitudes de E\/S de manera asincr\u00f3nica.<\/p>\n El RootKit ideado por ARMO facilita la comunicaci\u00f3n entre un servidor de comando y control (C2) y un host infectado para obtener comandos y ejecutarlos sin hacer que las llamadas de sistema relevantes para sus operaciones, en lugar de hacer uso de Io_uring para lograr los mismos objetivos.<\/p>\n https:\/\/www.youtube.com\/watch?v=oj6vqo87miy<\/a><\/p>\n El an\u00e1lisis de ARMO de las herramientas de seguridad de tiempo de ejecuci\u00f3n de Linux disponibles actualmente ha revelado que ambos Falco<\/a> y Tetrag\u00f3n<\/a> son ciegos a las operaciones basadas en Io_uring debido al hecho de que dependen en gran medida del enganche de llamadas del sistema. <\/p>\n El agente Falcon de CrowdStrike, que tampoco pudo archivar las operaciones del sistema realizadas con IO_uring, desde entonces ha lanzado una soluci\u00f3n para el problema. Sin embargo, se dice que el defensor de Microsoft para el punto final en Linux carece de capacidades para detectar diversos tipos de amenazas, independientemente de si se us\u00f3 Io_uring.<\/p>\n Los riesgos de seguridad planteados por IO_uring han sido conocidos por alg\u00fan tiempo. En junio de 2023, Google revel\u00f3<\/a> que decidi\u00f3 limitar el uso de la interfaz del n\u00facleo de Linux a trav\u00e9s de Android, Chromeos y sus servidores de producci\u00f3n, ya que “proporciona fuertes primitivas de explotaci\u00f3n”.<\/p>\n “Por un lado, necesita visibilidad en las llamadas del sistema; por el otro, necesita acceso a estructuras del n\u00facleo y un contexto suficiente para detectar las amenazas de manera efectiva”, dijo Amit Schendel, jefe de investigaci\u00f3n de seguridad en ARMO.<\/p>\n “Muchos proveedores toman el camino m\u00e1s directo: engancharse directamente en las llamadas del sistema. Si bien este enfoque ofrece una visibilidad r\u00e1pida, viene con limitaciones. En particular, las llamadas del sistema no siempre se garantiza que se invoque. Io_uring, que puede omitirlas por completo, es un ejemplo positivo y excelente”.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/04\/Linux-IO_uring-POC-Rootkit-Ocupa-Herramientas-de-deteccion-de-amenazas.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n