Furtex: 120 formas de burlar a Linux con io_uring y eBPF

Hemos visto cómo Linux se ha vuelto más espinoso con el tiempo, vigilando no solo archivos y procesos, sino también lo que ocurre dentro del núcleo. Sin embargo, un desarrollador ruso acaba de soltar la bomba con Furtex, un conjunto de código abierto que demuestra que la seguridad aún tiene grietas. Se trata de nada menos que 120 herramientas diseñadas para la postexplotación, el sigilo y la verificación de detecciones. Todo esto se basa en dos pilares fundamentales: io_uring y eBPF. El primero permite realizar operaciones de E/S mediante una cola separada, evitando muchos puntos de interceptación clásicos donde suelen picar los antivirus o los HIDS. Por su parte, eBPF ofrece acceso limitado pero letal a eventos y estructuras del kernel.El arsenal incluye utilidades para leer secretos, levantar consolas inversas, inyectar código y exfiltrar datos vía DNS o ICMP. Algunas funciones requieren root, pero otras operan con usuario normal. Lo más chulo es que cubre las 25 reglas estándar de Falco, ya sea ocultando el evento o modificando parámetros para que la regla no detecte la amenaza. Es como jugar al escondite con el sistema operativo, pero sabiendo exactamente dónde mirar.Aunque son pruebas conceptuales, Furtex sirve perfecto para CTFs y auditorías. Ojo, porque permite persistencia y robo de datos, así que mejor ejecutarlo con permiso por escrito. Si queréis ver cómo se rompe Linux desde dentro, este toolkit es vuestra nueva ganzúa favorita.