دور خوردن EDR های مهم

نویسنده نشان می‌دهد که چگونه با io_uring (که مثل یک تونل خاص و کم‌سروصدا برای کار با فایل/شبکه به لینوکس اضافه شده)، می‌شود داده‌ها را خواند/نوشت/ارسال کرد بدون آنکه EDRهای مهم (مثل CrowdStrike Falcon, SentinelOne, یا حتی بعضی نمونه‌های Open Source مثل Wazuh اگر به syscall tracing تکیه کنند) متوجه شوند.
کد ارائه‌شده، یک backdoor عملی است که داده و ران‌فرمان از C2 می‌گیرد و همه عملیاتش را بدون syscall کلاسیک انجام می‌دهد.
اگر در تیم آبی کار می‌کنید، باید حواستان باشد که سیستم فقط با بررسی classic syscallها امن نیست.

راه‌حل: باید روی بحث kernel tracing، eBPF مخصوص io_uring، و شبکه تمرکز کنید.


این مقاله یک آگاهی مهم برای عملیات SOC/LINUX EDR است:

روش‌های مبتنی بر syscall hooking کافی نیست!
باید ابزارهای جدید و مانیتورینگ مبتنی‌بر eBPF/Kernel-level را جدی‌تر بگیرید.
برای Red Teamها، io_uring یک راه جذاب برای فرار از بسیاری از محصولات EDR-Linux است (تا زمانی که detection rule به آن نخورده).


#آکادمی_روزبه
مرکز تخصصی CISSP

https://matheuzsecurity.github.io/hacking/evading-linux-edrs-with-io-uring/