rootpacket (CVE-2026-31431)

Ein Linux-Cryptojacking-Toolkit, das vom Docker-Container auf den Host übergreift und bei Live-Angriffen auf Kinryū Labs-Honeypots erfasst wurde. Es dringt über eine exponierte Docker-Engine-API ein, entkommt dem Container, um mit CVE-2026-31431 Root auf dem Host zu erlangen, installiert ein Kernel-Rootkit und führt einen XMRig-Monero-Miner aus.

Vollständige technische Analyse: https://kinryu.sh/reports/rootpacket-linux-cryptojacking-rootkit

TLP:CLEAR

⚠️ Dieses Repository enthält aktive Malware

Jede Datei hier ist funktionsfähiger, feindseliger Code, einschließlich eines funktionierenden Privilege-Escalation-Exploits. Behandeln Sie es nur in einer isolierten Wegwerf-VM ohne echten Netzwerkzugriff und mit einem Snapshot, auf den Sie zurücksetzen können. Niemals auf einem Host, Produktionssystem oder einem Netzwerk, das Ihnen wichtig ist. Sie übernehmen das gesamte Risiko.

Wenn Sie Linux verwenden, patchen Sie CVE-2026-31431 zuerst (Kernel 6.18.22 / 6.19.12 / 7.0+ oder den Backport Ihrer Distribution), bevor Sie sich getroot nähern.

Inhalt

Hashes

rootpacket.tar.gz: MD5 aa09915de9ce9dba8b62995e17fe9b97, 5,243,465 Bytes.

Was es tut

• Zustellung: exponierte Docker-Engine-API auf TCP 2375 → ein privilegierter Container, der das Host-Root bind-mountet (-v /:/host --pid host) → chroot /host → lädt und führt dieses Toolkit aus.
• Privilege Escalation: getroot nutzt CVE-2026-31431 aus, einen deterministischen 4-Byte-Page-Cache-Schreibvorgang in der AF_ALG-algif_aead-Schnittstelle (authencesn(hmac(sha256),cbc(aes))), um /usr/bin/su im Speicher zu patchen und Shellcode als Root auszuführen. Die Datei auf der Platte wird nie angefasst, sodass die Dateiintegritätsüberwachung nichts sieht. Da der Page Cache host-global ist, ermöglicht derselbe Bug den Ausbruch aus einem unprivilegierten Container auf den Host.
• Tarnung: Das LKM-Rootkit verbirgt den Prozess und die Dateien des Miners und fälscht CPU/RAM in /proc, sodass top ein ruhiges System zeigt.
• Auswirkung: XMRig-Monero-Mining als Root; killservice.sh verdrängt rivalisierende Miner und sperrt andere exponierte Dienste ab.

Betroffene Kernel: Linux 4.14 bis 6.19.11. Behoben in 6.18.22 / 6.19.12 / 7.0+.

Verantwortungsvoller Umgang

Nur für defensive Forschung, Detection Engineering und Ausbildung. Verwenden Sie diese Samples, den Exploit oder die Techniken nicht gegen Systeme, die Ihnen nicht gehören oder für die Sie nicht ausdrücklich zum Testen autorisiert sind. Sie sind dafür verantwortlich, das Recht in Ihrem Zuständigkeitsbereich einzuhalten (CFAA, Computer Misuse Act und entsprechende Gesetze).

Diese Samples stammen von externen Bedrohungsakteuren und werden unverändert zur Analyse bereitgestellt.

Kontakt

Korrekturen, Sample-Anfragen oder Takedown: [email protected] · kinryu.sh