LD_PRELOAD hijacking forensics

Définition

LD_PRELOAD est une variable d'environnement Linux permettant de charger une bibliothèque partagée avant toutes les autres lors du démarrage d'un processus. Bien que conçue pour des usages légitimes (remplacement de fonctions de bibliothèque pour les tests, débogage), LD_PRELOAD est massivement exploitée par les rootkits Linux pour intercepter les appels système et masquer leurs activités. Un rootkit utilisant LD_PRELOAD fonctionne ainsi : il crée une bibliothèque partagée (.so) qui redéfinit des fonctions libc courantes comme readdir (utilisée par ls), open, read, connect, ou getdents64. En se chargeant avant la libc via LD_PRELOAD, cette bibliothèque malveillante intercepte les appels de ces fonctions et filtre les résultats — par exemple, en excluant ses propres fichiers de la liste retournée par readdir, rendant le rootkit invisible à la commande ls. Pour la persistance via LD_PRELOAD, les attaquants configurent la variable dans plusieurs endroits : /etc/ld.so.preload (fichier système lu par le dynamic linker pour tous les processus, nécessite un accès root pour modification), les fichiers de configuration shell (/etc/profile, /etc/environment, ~/.bashrc, ~/.profile), ou les fichiers de configuration de services spécifiques. La détection forensique de LD_PRELOAD malveillant passe par plusieurs méthodes. Vérifier /etc/ld.so.preload — sa présence est déjà suspecte sur la plupart des systèmes de production, et son contenu doit pointer vers des bibliothèques légitimes connues. Vérifier les variables d'environnement LD_PRELOAD dans /proc/[PID]/environ pour chaque processus actif. Comparer les sorties de commandes natives (ls, netstat) avec les appels système équivalents (strace ls) — si ls n'affiche pas ce que strace montre, un hook LD_PRELOAD est probablement actif. L'outil 'unhide' est spécifiquement conçu pour détecter les processus et fichiers cachés par des rootkits (y compris LD_PRELOAD), en comparant les informations obtenues via différentes interfaces du système.