2. Divisão de Processos Quebra a Correlação em Nível de PID

Ao usar fork + SCM_RIGHTS (passagem de fd via socket de domínio Unix), a criação de sockets e as operações de splice podem ser colocadas em processos diferentes:

• A correlação same_field(audit.pid) do Wazuh quebra — PID do socket ≠ PID do splice, a regra CRITICAL não dispara
• O rastreamento de fd em nível de processo do libsinsp do Falco é completamente quebrado em cenários SCM_RIGHTS

3. Reutilização de Sockets Bypassa Regras de Limite de Contagem

O PoC original cria um novo socket por iteração (produzindo 40+ chamadas socket(AF_ALG)). A reutilização de sockets cria apenas um socket de escuta; o loop chama accept() que não produz novos eventos de socket. Regras baseadas em count >= N são completamente derrotadas.

4. A Combinação de Variantes Mais Difícil de Detectar

Sob essa combinação: ferramentas baseadas em syscalls ficam completamente cegas, a correlação em nível de processo é quebrada, os limites de contagem falham. Apenas a detecção por ponto de convergência com kprobe pode capturar essa combinação.

5. Monitoramento em Nível de LSM Pode Detectar Exploração Perfeitamente

__sock_create(family=38) é um ponto de convergência impossível de bypassar para todos os caminhos (syscall e io_uring) — AF_ALG é a única API de criptografia em espaço de usuário no kernel Linux. Não importa como os atacantes variem sua abordagem, eles precisam criar um socket AF_ALG. Monitorar essa função no nível LSM fornece 100% de recall e não é afetado por nenhuma variante.

Resultados de Testes Específicos por Produto

Falco Requer o Plugin krsi

O driver nativo modern_ebpf do Falco apenas captura o caminho de syscall. O plugin krsi é necessário — ele usa rastreamento fexit nas saídas das funções do kernel io_socket() e __sys_socket() para cobrir o caminho io_uring para criação de sockets AF_ALG. Regra de fallback recomendada:

A abordagem de detecção da regra recomendada: cobre simultaneamente eventos socket (caminho de syscall, usando correspondência de string evt.args contains AF_ALG para contornar a limitação de tipo ENUMFLAGS32) e eventos krsi_socket (caminho io_uring, usando comparação de inteiro krsi.domain = 38). Sem limites de contagem (derrotados pela reutilização de sockets), sem dependência de correlação de PID (derrotada pela divisão multi-processo).

Nota: As três camadas de defesa da regra da comunidade ThreatBear são todas bypassáveis — incompatibilidade de tipo ENUMFLAGS32 (evt.arg[0]=38 sempre falso), reutilização de sockets derrota o limite de contagem (count=1 < 40), divisão multi-processo quebra a correlação de PID. Veja Análise de Bypass de Regra.

Wazuh / Elastic Security Agent Não Conseguem Detectar Exploração via io_uring

O Wazuh depende inteiramente dos eventos de auditoria de syscalls do auditd. As operações do io_uring não passam pela entrada de syscall, então o auditd produz zero eventos e todas as 7 regras do Wazuh falham. O mesmo se aplica ao Elastic Security Agent — produtos dependentes de entrada de syscall são estruturalmente cegos ao caminho io_uring. Veja Análise de Limitações do Wazuh.

Demonstração de Bypass

O diretório bypass_demo/ contém descrições conceituais das abordagens de bypass de detecção. O código PoC real é apenas para uso interno e não é distribuído publicamente.

Índice de Documentação

Teoria

Soluções de Detecção

Endurecimento