h3xduck/TripleCross

🔴 TripleCross — Rootkit eBPF đầy đủ năng lực tấn công trên Linux

1.979 sao. 7 module. Một bản thesis đã trở thành tài liệu tham khảo hàng đầu về offensive eBPF.

TripleCross là rootkit Linux dựa trên eBPF, được phát triển trong luận văn cử nhân tại UC3M (Đại học Madrid). Dự án kế thừa và mở rộng các kỹ thuật từ các nghiên cứu DEFCON trước đó của Jeff Dileo, Pat Hogan, Guillaume Fournier, Sylvain Afchain và Boopkit của Kris Nóva. TripleCross chứng minh khả năng offensive của eBPF với hệ thống module hoàn chỉnh.

✨ Điểm nổi bật

• Library injection: ghi mã độc vào bộ nhớ ảo của tiến trình để thực thi code tùy ý
• Execution hijacking: sửa đổi dữ liệu truyền đến kernel để chuyển hướng thực thi chương trình độc hại
• Local privilege escalation: chạy chương trình malicious với quyền root
• Backdoor + C2: giám sát mạng, nhận lệnh từ remote client với nhiều trigger kích hoạt stealth
• Rootkit client: 3 loại kết nối shell-like để điều khiển state của rootkit từ xa
• Persistence: duy trì quyền root và cài đặt sau mỗi reboot
• Stealth: ẩn file và thư mục liên quan đến rootkit khỏi người dùng

💡 Vì sao đáng chú ý

TripleCross không phải proof-of-concept đơn lẻ — nó là một hệ thống module hoàn chỉnh với architecture rõ ràng, chia tách thành eBPF programs, userland programs, client, và libbpf tích hợp. Dự án đi kèm tài liệu thesis chi tiết và mã nguồn được tổ chức theo thư mục riêng biệt cho từng module, giúp dễ dàng nghiên cứu từng thành phần.

Dự án sử dụng RawTCP_Lib (repository riêng) cho truyền thông rootkit và được build bằng libbpf — phương pháp chuẩn hiện đại để tương tác eBPF với kernel. TripleCross phù hợp cho nghiên cứu defensive, hiểu deep về khả năng tấn công của eBPF, và xây dựng detection/mitigation strategies. Mã nguồn được release dưới dạng giáo dục, kèm disclaimer rõ ràng.

#eBPF #Rootkit #LinuxSecurity #Backdoor #libbpf #TiniX