rootpacket（CVE-2026-31431）

Kinryū Labs のハニーポットで観測された実際の攻撃から採取した、Linux の Docker からホストへのクリプトジャッキングツールキットです。露出した Docker Engine API から侵入し、コンテナから脱出して CVE-2026-31431 でホストを root 化し、カーネルルートキットをインストールして、XMRig Monero マイナーを実行します。

完全な技術分析: https://kinryu.sh/reports/rootpacket-linux-cryptojacking-rootkit

TLP:CLEAR

⚠️ このリポジトリには実動マルウェアが含まれています

ここにあるすべてのファイルは、動作する特権昇格エクスプロイトを含む、機能する敵対的コードです。実際のネットワークアクセスがなく、ロールバック用のスナップショットを備えた、隔離された使い捨て VM 内でのみ取り扱ってください。重要なホスト、本番システム、ネットワーク上では決して実行しないでください。すべてのリスクは自己責任です。

Linux を使用している場合は、getroot に触れる前に、まず CVE-2026-31431 をパッチ適用してください（カーネル 6.18.22 / 6.19.12 / 7.0+、またはディストリビューションのバックポート）。

目次

ハッシュ

rootpacket.tar.gz: MD5 aa09915de9ce9dba8b62995e17fe9b97、5,243,465 バイト。

動作内容

• 配信: TCP 2375 で露出した Docker Engine API → ホストのルートをバインドマウントする特権コンテナ（-v /:/host --pid host）→ chroot /host → このツールキットを取得して実行。
• 特権昇格: getroot は CVE-2026-31431（AF_ALG algif_aead インターフェース（authencesn(hmac(sha256),cbc(aes))）における決定的な 4 バイトのページキャッシュ書き込み）を悪用し、メモリ内の /usr/bin/su をパッチしてシェルコードを root として実行します。ディスク上のファイルには一切触れないため、ファイル整合性監視では何も検知されません。ページキャッシュはホスト全体で共有されるため、同じバグで非特権コンテナからホストへ脱出できます。
• ステルス: LKM ルートキットがマイナーのプロセスとファイルを隠し、/proc の CPU/RAM を偽装するため、top では平穏な状態に見えます。
• 影響: root として XMRig Monero マイニングを実行。killservice.sh が競合マイナーを排除し、他の露出サービスをロックダウンします。

影響を受けるカーネル: Linux 4.14 から 6.19.11。6.18.22 / 6.19.12 / 7.0+ で修正済み。

責任ある利用

防御的な研究、検知エンジニアリング、教育目的のみに使用してください。所有していない、または明示的にテストを許可されていないシステムに対して、これらのサンプル、エクスプロイト、技術を使用しないでください。お住まいの地域の法律（CFAA、Computer Misuse Act、およびそれらに相当する法律）を遵守する責任はあなたにあります。

これらのサンプルは第三者の脅威アクターによって作成されたものであり、分析用に無修正のまま提供されています。

連絡先

訂正、サンプルのリクエスト、削除依頼: [email protected] · kinryu.sh