Исходное сообщение
"Simbiote - вредоносное ПО для Linux, использующее eBPF и LD_..." Отправлено швондер, 11-Июн-22 16:57
Как вариант, запустить что-либо с LD_PRELOAD и убедиться в том, что свой LD_PRELOAD виден у запущенного процесса. Но опять же - возможна чистка только определенной вгружаемой библиотечки. Поэтому ваш LD_PRELOAD будет отображаться в /proc/pid/environ, искомый нет. Подключившись к процессу с gdb возможно чтение environ в первом фрейме. Но вообще переменная environ может быть недостоверна - её тоже вполне по силам чистить. Далее, вгруженная библиотека должна быть видна в /proc/пид/maps - с теми же соображениями о степени доверия к результатам любого чтения. Таким образом, надо убедиться в первую очередь в том, что чтение не подменено. Это можно пробовать сделать через сравнение числа потраченных инструкций цпу - время выполнения - на заведомо чистой и целевой системах. выполнять  perf record/stat и опираться на счетчик выполненных инструкций.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Как вариант, запустить что-либо с LD_PRELOAD и убедиться в том, что свой > LD_PRELOAD виден у запущенного процесса. Но опять же - возможна чистка > только определенной вгружаемой библиотечки. Поэтому ваш LD_PRELOAD будет отображаться > в /proc/pid/environ, искомый нет. Подключившись к процессу с gdb возможно чтение > environ в первом фрейме. Но вообще переменная environ может быть недостоверна > - её тоже вполне по силам чистить. > Далее, вгруженная библиотека должна быть видна в /proc/пид/maps - с теми же > соображениями о степени доверия к результатам любого чтения. > Таким образом, надо убедиться в первую очередь в том, что чтение > не подменено. Это можно пробовать сделать через сравнение числа потраченных инструкций > цпу - время выполнения - на заведомо чистой и целевой системах. > выполнять perf record/stat и опираться на счетчик выполненных инструкций.
	Введите код, изображенный на картинке: