2. La División de Procesos Rompe la Correlación a Nivel de PID

Al usar fork + SCM_RIGHTS (paso de fd a través de sockets de dominio Unix), la creación de sockets y las operaciones de splice pueden colocarse en diferentes procesos:

• La correlación same_field(audit.pid) de Wazuh se rompe — PID del socket ≠ PID del splice, la regla CRÍTICA no se activa
• El seguimiento de fd a nivel de proceso de Falco libsinsp se rompe por completo en escenarios SCM_RIGHTS

3. La Reutilización de Sockets Evade las Reglas de Umbral de Conteo

El PoC original crea un nuevo socket por iteración (produciendo 40+ llamadas socket(AF_ALG)). La reutilización de sockets crea solo un socket de escucha; el bucle llama a accept() que no produce nuevos eventos de socket. Las reglas basadas en count >= N quedan completamente derrotadas.

4. La Combinación de Variantes Más Difícil de Detectar

Bajo esta combinación: las herramientas basadas en syscalls están completamente ciegas, la correlación a nivel de proceso se rompe, los umbrales de conteo fallan. Solo la detección de punto de convergencia con kprobe puede detectar esta combinación.

5. El Monitoreo a Nivel LSM Puede Detectar Perfectamente la Explotación

__sock_create(family=38) es un punto de convergencia inevitable para todas las rutas (syscall e io_uring) — AF_ALG es la única API criptográfica de espacio de usuario en el kernel de Linux. No importa cómo los atacantes varíen su enfoque, deben crear un socket AF_ALG. Monitorear esta función a nivel LSM proporciona un 100% de recall y no se ve afectado por ninguna variante.

Resultados de Pruebas Específicos por Producto

Falco Requiere el Plugin krsi

El driver nativo modern_ebpf de Falco solo captura la ruta de syscalls. El plugin krsi es obligatorio — utiliza trazado fexit en las salidas de las funciones del kernel io_socket() y __sys_socket() para cubrir la ruta io_uring en la creación de sockets AF_ALG. Regla de respaldo recomendada:

El enfoque de detección de la regla recomendada: cubre simultáneamente eventos socket (ruta de syscall, usando coincidencia de cadena evt.args contains AF_ALG para evadir la limitación de tipo ENUMFLAGS32) y eventos krsi_socket (ruta io_uring, usando comparación de enteros krsi.domain = 38). Sin umbrales de conteo (derrotados por la reutilización de sockets), sin dependencia de correlación PID (derrotada por la división multi-proceso).

Nota: Las tres capas de defensa de la regla comunitaria ThreatBear son todas evadibles — desajuste de tipo ENUMFLAGS32 (evt.arg[0]=38 siempre falso), la reutilización de sockets derrota el umbral de conteo (count=1 < 40), la división multi-proceso rompe la correlación PID. Ver Análisis de Evasión de Reglas.

Wazuh / Elastic Security Agent No Pueden Detectar la Explotación de io_uring

Wazuh depende completamente de los eventos de auditoría de syscalls de auditd. Las operaciones de io_uring no pasan por la entrada de syscalls, por lo que auditd produce cero eventos y las 7 reglas de Wazuh fallan. Lo mismo aplica a Elastic Security Agent — los productos dependientes de la entrada de syscalls son estructuralmente ciegos a la ruta io_uring. Ver Análisis de Limitaciones de Wazuh.

Demostración de Evasión

El directorio bypass_demo/ contiene descripciones conceptuales de los enfoques de evasión de detección. El código PoC real es solo para uso interno y no se distribuye públicamente.

Índice de Documentación

Teoría

Soluciones de Detección

Endurecimiento