2. La division de processus brise la corrélation au niveau du PID

En utilisant fork + SCM_RIGHTS (passage de descripteurs de fichier via socket de domaine Unix), la création de socket et les opérations splice peuvent être placées dans des processus différents :

• La corrélation same_field(audit.pid) de Wazuh est brisée — PID du socket ≠ PID du splice, la règle CRITIQUE ne se déclenche pas
• Le suivi des descripteurs de fichier au niveau du processus de libsinsp de Falco est complètement cassé dans les scénarios SCM_RIGHTS

3. La réutilisation de socket contourne les règles de seuil de comptage

Le PoC original crée un nouveau socket à chaque itération (produisant 40+ appels socket(AF_ALG)). La réutilisation de socket ne crée qu'un seul socket d'écoute ; la boucle appelle accept() qui ne produit pas de nouveaux événements de socket. Les règles basées sur count >= N sont complètement neutralisées.

4. La combinaison de variantes la plus difficile à détecter

Avec cette combinaison : les outils basés sur les appels système sont totalement aveugles, la corrélation au niveau du processus est brisée, les seuils de comptage échouent. Seule la détection par point de convergence kprobe peut attraper cette combinaison.

5. La surveillance au niveau LSM peut détecter parfaitement l'exploitation

__sock_create(family=38) est un point de convergence incontournable pour tous les chemins (appel système et io_uring) — AF_ALG est la seule API crypto en espace utilisateur du noyau Linux. Quelle que soit la façon dont les attaquants varient leur approche, ils doivent créer un socket AF_ALG. La surveillance de cette fonction au niveau LSM offre un rappel de 100 % et n'est affectée par aucune variante.

Résultats de tests spécifiques aux produits

Falco nécessite le plugin krsi

Le pilote modern_ebpf natif de Falco ne capture que le chemin des appels système. Le plugin krsi est requis — il utilise le traçage fexit sur les sorties des fonctions noyau io_socket() et __sys_socket() pour couvrir le chemin io_uring pour la création de socket AF_ALG. Règle de repli recommandée :

L'approche de détection de la règle recommandée : couvre simultanément les événements socket (chemin d'appel système, en utilisant la correspondance de chaîne evt.args contains AF_ALG pour contourner la limitation de type ENUMFLAGS32) et les événements krsi_socket (chemin io_uring, en utilisant la comparaison d'entiers krsi.domain = 38). Pas de seuils de comptage (neutralisés par la réutilisation de socket), pas de dépendance à la corrélation PID (neutralisée par la division multi-processus).

Remarque : Les trois couches de défense de la règle communautaire ThreatBear sont toutes contournables — incompatibilité de type ENUMFLAGS32 (evt.arg[0]=38 toujours faux), la réutilisation de socket neutralise le seuil de comptage (count=1 < 40), la division multi-processus brise la corrélation PID. Voir Analyse du contournement de règle.

Wazuh / Elastic Security Agent ne peuvent pas détecter l'exploitation io_uring

Wazuh repose entièrement sur les événements d'audit des appels système d'auditd. Les opérations io_uring ne passent pas par l'entrée des appels système, donc auditd produit zéro événement et les 7 règles Wazuh échouent. Il en va de même pour Elastic Security Agent — les produits dépendants de l'entrée des appels système sont structurellement aveugles au chemin io_uring. Voir Analyse des limitations de Wazuh.

Démonstration de contournement

Le répertoire bypass_demo/ contient des descriptions conceptuelles des approches de contournement de détection. Le code PoC réel est réservé à un usage interne et n'est pas distribué publiquement.

Index de documentation

Théorie

Solutions de détection

Durcissement