Rootpacket: набор инструментов для криптоджекинга в Linux, который прячется в ядре

TLP:CLEAR. Разрешено к публичному распространению. Получено сетью honeypot-сенсоров Kinryū Labs. Индикаторы ниже приведены в обезвреженном виде.

Краткая сводка

• ~45%загрузка CPU по данным top, пока реальная близка к 100%
• 3механизма закрепления
• 7.8CVSS, CVE-2026-31431 (LPE через страничный кэш AF_ALG)
• хостroot из непривилегированного контейнера

Rootpacket представляет собой многокомпонентный набор инструментов для криптоджекинга под Linux. В его состав входят руткит уровня ядра для сокрытия активности, эксплойт повышения привилегий для CVE-2026-31431 в криптографическом интерфейсе Linux AF_ALG, упакованный UPX майнер Monero XMRig 6.26.0, переименованный в xrandom, и скрипт устранения конкурентов. Код в значительной части написан на турецком языке (имена переменных, комментарии, строки состояния), что указывает на турецкоязычного оператора.

Набор работает в одном из двух режимов. В режиме root он загружает руткит в виде загружаемого модуля ядра (LKM), замаскированного под intel_uncore_freq_aux, устанавливает его через DKMS, чтобы тот сохранялся после обновлений ядра, регистрирует службу systemd и очищает машину от конкурентов. Если получить root не удаётся, он переходит в пользовательский режим, закрепляется через crontab и запускает майнер как демон. Майнер подключается к pool.supportxmr.com:443 по stratum+ssl и добывает Monero алгоритмом RandomX.

Наибольшего внимания заслуживает руткит. Пока майнер держит процессор на уровне около 100 процентов, руткит переписывает /proc/stat так, что top и htop показывают спокойные от 40 до 50 процентов, причём это значение колеблется в зависимости от jiffies, чтобы нагрузка выглядела настоящей, а не зафиксированной на константе. То же самое он делает с /proc/meminfo, а также фильтрует листинги каталогов, скрывая собственные процессы и файлы.

Архитектура набора инструментов

Rootpacket представляет собой модульный дроппер. Его составные части:

setup.sh         Entry point. Checks privilege level, picks a deployment mode.
getroot          Privilege escalation. Exploits CVE-2026-31431 (AF_ALG) for local root.
xrandom          UPX-packed XMRig 6.26.0, renamed to dodge name-based detection.
kernel/
  stealth.c      LKM rootkit, compiled via DKMS, disguised as an Intel driver.
  install.sh     DKMS persistence engine.
killservice.sh   Competitor elimination and "hardening".
rootpacket.tar.gz  An inner copy of the whole toolkit, packaged for redistribution.

Режим root. setup.sh запускает getroot, если процесс ещё не работает от root, копирует xrandom в /opt/kernel-kd/, создаёт службу systemd, запускает kernel/install.sh для компиляции и загрузки руткита через DKMS, запускает killservice.sh для устранения конкурентов и стартует майнер как постоянно работающую службу.

Пользовательский резервный режим. Когда root недоступен, setup.sh копирует xrandom в ~/.xrandom/, записывает скрипт запуска с блокировкой по PID, добавляет запись в crontab, срабатывающую при перезагрузке и каждую минуту, и запускает майнер через setsid, чтобы тот продолжал работу после завершения родительской оболочки.

Характеристика	Режим root	Пользовательский режим
Расположение майнера	/opt/kernel-kd/xrandom	~/.xrandom/xrandom
Закрепление	systemd (kernel-kd.service)	crontab (@reboot + */1 * * * *)
Руткит	Да (LKM через DKMS)	Нет
Устранение конкурентов	Да (killservice.sh)	Нет
Запуск от имени	root (systemd)	текущий пользователь (демон setsid)

getroot: CVE-2026-31431, root через повреждение страничного кэша

getroot представляет собой статически скомпонованный ELF64-бинарник x86-64 без удаления символов, собранный из getroot.c. Он эксплуатирует CVE-2026-31431 (“Copy Fail”), логическую ошибку в интерфейсе AF_ALG algif_aead ядра Linux, раскрытую 29 апреля 2026 года (CVSS 7.8). Уязвимость даёт детерминированную запись 4 байт в страничный кэш ядра, контролируемую атакующим, и getroot использует её, чтобы пропатчить SUID-бинарник в памяти и получить права root.

Свойство	Значение
Тип	ELF 64-bit LSB executable, x86-64, статически скомпонован, символы не удалены
CVE	CVE-2026-31431 “Copy Fail” (CVSS 7.8, AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
Подсистема	AF_ALG algif_aead, AEAD-шаблон authencesn(hmac(sha256),cbc(aes))
Затронутые версии	Linux с 4.14 по 6.19.11 (дефект появился в 2017 году, коммит 72548b093ee3); исправлено в 6.18.22, 6.19.12, 7.0+
Цель	/usr/bin/su: его секция .text патчится в памяти, в страничном кэше
Надёжность	Детерминированная, без состояния гонки
Использование / резервное поведение	./getroot <cmd> [args...]; если эксплойт не срабатывает, команда всё равно выполняется с текущими привилегиями

Механизм. Оптимизация 2017 года, выполняющая операцию “на месте” в коде AEAD, оставила страницы страничного кэша, полученные через splice, одновременно и в исходном, и в целевом scatterlist. Когда шаблон authencesn записывает своё 4-байтовое служебное значение ESN по выбранному атакующим смещению assoclen + cryptlen, эта запись попадает внутрь страницы страничного кэша файла, доступного пользователю для чтения. Проверка HMAC после этого не проходит, и recvmsg() возвращает EBADMSG, однако ядро никогда не откатывает выполненную запись. getroot разбирает ELF-заголовки /usr/bin/su, чтобы вычислить файловое смещение точки входа, а затем в цикле выполняет splice → sendmsg (с передачей записываемых 4 байт в AAD) → recvmsg, по одному проходу на каждый 4-байтовый фрагмент шелл-кода, патча /usr/bin/su в страничном кэше. Затем он вызывает execve для /usr/bin/su: ядро загружает уже повреждённую страницу, шелл-код исполняется с правами SUID-root, и getroot проверяет, что getuid() == 0, прежде чем выполнить команду оператора (с выводом турецкого [+] ROOT ele gecirildi!). Файл на диске при этом не изменяется, поэтому средства контроля целостности файлов ничего не фиксируют.

Выход из контейнера на хост. Страничный кэш Linux является общим для всего хоста, у контейнеров нет собственного. Процесс внутри непривилегированного контейнера, выполняющий splice над хостовым /usr/bin/su, повреждает хостовую кэшированную копию, поэтому вызов execve даёт root на хосте, а не только в контейнере. Таким образом, заражённый контейнер означает скомпрометированный хост, и далее setup.sh загружает руткит ядра именно в хост. Остановки и удаления контейнера недостаточно, хост необходимо пересобрать заново.

Мы однократно запустили getroot в изолированной виртуальной машине (Kali, ядро 6.6.15). Он выполнил полную последовательность AF_ALG, но не получил root на этой сборке и перешёл к запуску команды без повышенных привилегий, что согласуется с эксплойтом, рассчитанным на конкретные раскладки ядра. Майнер мы не запускали.

xrandom: майнер

xrandom представляет собой переименованную и упакованную UPX копию XMRig 6.26.0, майнера Monero с открытым исходным кодом.

Свойство	Значение
Реальная принадлежность	XMRig 6.26.0
Упаковка	UPX 4.2.4 (2.8 МБ в упакованном виде, 10.1 МБ в распакованном)
Алгоритм	RandomX (rx/0)
Пул	pool.supportxmr.com:443 по stratum+ssl
Кошелёк	46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ
Уровень доната	0 (донат разработчикам XMRig отключён)

Майнинг через порт 443 с TLS позволяет трафику на первый взгляд сливаться с обычным HTTPS, хотя при внимательном анализе рукопожатие stratum имеет иной TLS-отпечаток.

stealth.c: руткит уровня ядра

Это наиболее проработанная часть набора. Руткит реализован в виде LKM и использует перехват функций через ftrace, чтобы вмешиваться в работу функций ядра и стирать следы вредоносного ПО, при этом на всех уровнях он маскируется под аппаратный драйвер Intel.

Свойство	Значение
Имя модуля	intel_uncore_freq_aux
Поддельные метаданные	MODULE_AUTHOR("Intel Corporation"), MODULE_DESCRIPTION("Intel Uncore Frequency Control Driver"), MODULE_VERSION("1.2.0")
Перехват	ftrace через kallsyms_lookup_name (разрешается через kprobe на ядрах 5.7 и новее)
Управление	sysfs по пути /sys/kernel/intel_uncore_freq/ (enabled, cpu_lo, cpu_hi, mem_lo, mem_hi, hide_tag)

Что он перехватывает и зачем:

• Маскировка загрузки CPU. Перехватывает show_stat, чтобы переписывать /proc/stat, подделывая загрузку в заданных границах (по умолчанию от 40 до 50 процентов) и варьируя её по jiffies, чтобы значение изменялось как при реальной нагрузке, а не оставалось неподвижным.
• Маскировка памяти. Перехватывает meminfo_proc_show, чтобы переписывать /proc/meminfo, подделывая MemFree, MemAvailable, Buffers, Cached, Active и Inactive.
• Сокрытие процессов. Перехватывает iterate_dir, чтобы фильтровать листинги /proc, скрывая PID, имена которых совпадают с зашитым набором: stealth, masscan, sshruns, ransomx, cpumask, xrandom, cpm_, kcpm, mask_helper, ftrhook, kintel_aux. Оператор может добавить дополнительные имена во время работы через /sys/kernel/intel_uncore_freq/hide_tag.
• Сокрытие файлов. Скрывает пути, совпадающие с stealth, cpumask, kintel_aux, intel_uncore_freq_aux, а также сам каталог в sysfs.
• Самосокрытие. При загрузке он удаляет себя из /proc/modules и /sys/module/ с помощью list_del_init, удаляет свой kobject в sysfs и увеличивает собственный счётчик ссылок через try_module_get, так что rmmod его не выгрузит.

Этот список сокрытия сам по себе показателен: наряду с майнером он скрывает masscan, sshruns и ransomx, то есть оператор, вероятно, запускает сканер и может иметь в арсенале не только майнер.

На практике это означает, что администратор, наблюдающий за top, видит нагруженную, но нормально работающую машину, не находит подозрительных процессов и не видит модуля ядра, который его обманывает. Признаки остаются физическими и вне полосы: машина перегревается, вентиляторы раскручиваются, потребление энергии растёт, и ничего из этого руткит подделать не может.

Закрепление: три механизма, разделённые по режимам

Закрепление Rootpacket зависит от режима, в который он переходит. В режиме root он выстраивает два взаимно усиливающих друг друга механизма, в пользовательском режиме переходит к третьему.

#	Механизм	Режим	Детали
1	служба systemd	root	kernel-kd.service, Type=simple, Restart=always, RestartSec=3
2	модуль DKMS	root	Устанавливает руткит в /lib/modules/$(uname -r)/extra/; сохраняется после обновлений ядра
3	crontab	пользователь	@reboot плюс каждую минуту (* * * * *), с блокировкой по PID и setsid

Наиболее устойчивой является запись DKMS: руткит устанавливается через собственную систему сборки модулей ядра, поэтому штатное обновление ядра не удаляет его, а пересобирает и возвращает в рабочее состояние.

killservice.sh: очистка и закрытие машины

В своём баннере скрипт называет себя средством “усиления защиты от криптоджекеров”, и с точки зрения оператора это описание верно. Он работает в три этапа.

Этап 1: отключение открытых наружу сервисов. Скрипт нацелен на сервисы, слушающие на 0.0.0.0, которые часто служат точками входа для криптоджекинга: каждый из них останавливается, отключается и маскируется, на исполняемые файлы ставится chmod 000, а в iptables добавляются правила DROP:

Сервис	Порт
Redis	6379
Docker	2375/2376
PostgreSQL	5432
MongoDB	27017
Elasticsearch	9200/9300
Memcached	11211
Hadoop YARN	8088
Jenkins	8080
Confluence	8090

Строка про Docker связывает этот материал с нашим отчётом о RedTail: Rootpacket закрывает ту самую дверь 2375/2376, через которую проходит RedTail. Оператор, оказавшийся первым, майнит на хосте и затем блокирует доступ следующей группе, усиливая защиту машины именно против тех техник, которые та использовала бы.

Этап 2: удаление конкурирующих майнеров. Скрипт завершает процессы, удаляет файлы, чистит задания cron и вычищает SSH-ключи, связанные с известными семействами криптоджекинга, включая XMRig, Kinsing (kdevtmpfsi), TeamTNT (tntrecht, mdrfckr), sustes, watchdogs и minerd, а также сканеры вроде masscan, pnscan и zgrab.

Этап 3: удаление руткитов уровня пользователя. Скрипт убирает известные вредоносные записи LD_PRELOAD (libprocesshider.so, libjdk.so, libpamx.so, поддельная libselinux.so.3 и xhide) из /etc/ld.so.preload и удаляет сами библиотеки, устраняя руткиты уровня пользователя конкурентов, которые могли бы помешать его собственному.

Атрибуция

Турецкоязычные имена переменных, комментарии и строки состояния в наборе (например, ROOT ele gecirildi!, “root получен”) со средней степенью уверенности указывают на турецкоязычного оператора. Мы обнаружили URL распространения или промежуточного размещения linuxutil5.pages[.]dev на Cloudflare Pages, что соответствует практике размещения полезных нагрузок на бесплатной инфраструктуре с хорошей репутацией для маскировки. Вложенный rootpacket.tar.gz, автономная копия всего набора, даёт оператору готовый пакет для доставки на следующий хост.

Индикаторы компрометации

Сеть

Индикатор	Контекст
pool.supportxmr.com / pool.supportxmr.com:443	Основной пул для майнинга Monero, stratum+ssl
linuxutil5.pages[.]dev	Распространение / промежуточное размещение (Cloudflare Pages)
api.xmrig.com, randomx.xmrig.com:443	API и конечные точки тестирования производительности XMRig
donate.v2.xmrig.com, donate.ssl.xmrig.com	Пулы доната разработчикам XMRig (присутствуют, донат отключён)
stratum+ssl:// на порт 443	Исходящий TLS-трафик майнинга

Кошелёк Monero: 46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ

Файлы (SHA-256)

Файл	SHA-256	MD5
rootpacket.tar.gz (внешний)	e2d0dab6b29df89d123fe8581047a03ac9b89ae8fa0d1f334b5aefbb93152857
getroot	dda96d8a4bcc39dc7679347a4386bf1024152d2ccc46d333725ad0cda855d952
xrandom (упакованный)	ec3ef3dce99fa6cbc480f0f0b0c292676afed68704c44396271c7dc6afea2937

Идентификаторы сборки: getroot 148d8d902efd93ed892a541972fbcea3a99d05a3, xrandom d7a91225bdd2e3ab67cabded9d7809bcc724401f.

Артефакты на хосте

Путь	Контекст
/opt/kernel-kd/xrandom	Бинарник майнера (режим root)
~/.xrandom/xrandom, ~/.xrandom/run.sh	Майнер и скрипт запуска (пользовательский режим)
/tmp/.xrandom.lock	Блокировка по PID (пользовательский режим)
/etc/systemd/system/kernel-kd.service	Вредоносный юнит systemd
/usr/src/intel_uncore_freq_aux-1.2.0/	Исходный код руткита для DKMS
/sys/kernel/intel_uncore_freq/	Интерфейс управления руткитом в sysfs
/lib/modules/*/extra/intel_uncore_freq_aux.ko	Скомпилированный модуль руткита

Поведенческие

• Процесс с именем xrandom, работающий от root или от текущего пользователя.
• Показатели загрузки CPU в /proc/stat, расходящиеся с аппаратными счётчиками производительности (perf stat) либо со скоростью вентиляторов и потреблением энергии.
• Служба systemd kernel-kd (включена, Type=simple, Restart=always).
• Запись cron с меткой # xrandom-userland-autostart.
• Модуль ядра intel_uncore_freq_aux, который загружается при старте системы, но отсутствует в выводе lsmod.

Обнаружение

Если руткит не загружен

systemctl status kernel-kd.service
ls -la /opt/kernel-kd/ ~/.xrandom/
dkms status | grep intel_uncore_freq
crontab -l | grep xrandom
lsmod | grep intel_uncore

Если руткит загружен

Представления в пространстве пользователя скомпрометированы, поэтому обнаружение должно идти с уровня ниже руткита или в обход него:

• Сравните показатели CPU из /proc/stat с аппаратными счётчиками через perf stat. Значительное расхождение и есть признак.
• Отслеживайте ftrace-перехваты на show_stat, meminfo_proc_show и iterate_dir.
• Расхождение между отображаемой загрузкой CPU и реальным потреблением энергии, нагревом или скоростью вентиляторов следует считать сильным сигналом.

Выявление повышения привилегий

• Основной признак состоит в открытии сокета AF_ALG, SOCK_SEQPACKET процессом, который не относится к известным криптографическим инструментам (cryptsetup, openssl, gpg, systemd-cryptsetup). Полная последовательность такова: socket(AF_ALG) → bind → setsockopt(SOL_ALG) → accept → pipe → splice → sendmsg → splice → recvmsg (повторяется), затем execve(/usr/bin/su).
• Сравните байты каждого SUID-бинарника на диске с его представлением в страничном кэше. sha256sum читает через кэш и покажет повреждённую копию, поэтому читайте диск напрямую командой dd if=<file> iflag=direct, вычисляйте хэш от этого и сравнивайте. Несовпадение на SUID-бинарнике означает повреждение страничного кэша.

Вариант правила YARA

rule Rootpacket_Cryptojacker
{
    meta:
        description = "Rootpacket Linux cryptojacking toolkit"
        reference   = "Kinryu Labs CTI 2026-06-16"
    strings:
        $wallet = "46NVDFL6v5STw5Qw4j77PoBSHRTYnHZGZ8WRoGvHmpaMX7ZyhNUP2u24TLV9pNgncz1bZF2Vm8KkaNTzU7SXqrnFUx5zgHQ" ascii
        $svc    = "kernel-kd" ascii
        $cron   = "xrandom-userland-autostart" ascii
        $mod    = "intel_uncore_freq_aux" ascii
    condition:
        $wallet or 2 of ($svc, $cron, $mod)
}

Устранение

1. Удаляйте руткит из заведомо чистого состояния. Загрузитесь с live-носителя или носителя восстановления. Удалите /lib/modules/*/extra/intel_uncore_freq_aux.ko* и выполните dkms remove intel_uncore_freq_aux/1.2.0 --all, затем удалите /usr/src/intel_uncore_freq_aux-1.2.0/ и пересоберите initramfs (update-initramfs -u, dracut -f или mkinitcpio -P). Запись DKMS обязательно должна быть удалена, иначе модуль будет пересобран.
2. Удалите службу: systemctl stop kernel-kd; systemctl disable kernel-kd; rm /etc/systemd/system/kernel-kd.service; systemctl daemon-reload.
3. Удалите майнер: rm -rf /opt/kernel-kd/ ~/.xrandom/ /tmp/.xrandom.lock, затем pkill -9 -f xrandom.
4. Очистите cron от строк # xrandom-userland-autostart.
5. Восстановите то, что сломал killservice.sh. Он выставляет chmod 000 на исполняемые файлы Redis, Docker, PostgreSQL, MongoDB и других сервисов и добавляет правила DROP в iptables. Переустановите затронутые пакеты и проверьте конфигурацию межсетевого экрана.
6. Проверьте распространение по сети. Вложенный rootpacket.tar.gz рассчитан на дальнейшее распространение, поэтому проверьте другие хосты на те же индикаторы и изучите журналы на признаки эксплуатации сервисов, перечисленных в killservice.sh, чтобы найти точку входа.
7. Закройте CVE-2026-31431. Обновитесь до исправленного ядра (6.18.22, 6.19.12, 7.0+ либо бэкпорт вашего дистрибутива). Там, где обновление невозможно сразу, отключите уязвимый интерфейс: echo 'install algif_aead /bin/false' > /etc/modprobe.d/disable-algif-aead.conf, затем rmmod algif_aead. Для контейнеров заблокируйте AF_ALG (семейство 38) в профиле seccomp.
8. Исходите из того, что хост скомпрометирован через контейнер. Поскольку запись в страничный кэш пересекает границу контейнера, считайте любой хост, на котором выполнялся setup.sh, в том числе изнутри контейнера, полностью скомпрометированным. Хост нужно пересобрать, а не ограничиваться удалением контейнера.

Сопоставление с MITRE ATT&CK

Тактика	Техника
Первоначальный доступ	T1190 Эксплуатация приложения, доступного извне (Redis, Docker, MongoDB, Elasticsearch, Jenkins, Hadoop YARN, по косвенным признакам)
Исполнение	T1059.004 Командная оболочка Unix
Повышение привилегий	T1068 Эксплуатация уязвимости для повышения привилегий (CVE-2026-31431, AF_ALG algif_aead); T1611 Выход на хост (общий страничный кэш)
Закрепление	T1543.002 Служба systemd; T1053.003 Cron; T1547.006 Модули ядра (DKMS)
Обход защиты	T1014 Руткит; T1036.005 Маскировка: совпадение с легитимным именем; T1027.002 Упаковка программного обеспечения (UPX); T1070.004 Удаление файлов; T1564.001 Скрытые файлы
Обнаружение	T1057 Обнаружение процессов (поиск конкурентов)
Перемещение внутри сети	T1570 Перенос инструментов внутри сети (вложенный пакет для распространения)
Воздействие	T1496 Захват ресурсов (майнинг Monero)

Методология и примечания аналитика

• Анализ был преимущественно статическим (извлечение строк, дизассемблирование, разбор исходного кода, структурный анализ) и проводился на Kali Linux x86-64. Мы также однократно запустили getroot в изолированной виртуальной машине (ядро 6.6.15), чтобы наблюдать его поведение: он попытался выполнить последовательность AF_ALG, не получил root на этой сборке и перешёл к запуску команды без повышенных привилегий. Майнер не запускался, никакие данные не загружались.
• Компонент повышения привилегий соответствует CVE-2026-31431, что определено по шаблону authencesn(hmac(sha256),cbc(aes)), привязанному к сокету AF_ALG, по цели /usr/bin/su в страничном кэше и по циклу записи splice/sendmsg/recvmsg в бинарнике.
• Образцы (набор инструментов и его компоненты) доступны другим исследователям и специалистам по защите по запросу. Напишите на [email protected] с коротким пояснением, кто вы и для чего они вам нужны.