Большинство аналитиков при слове «руткит» смотрят в ядро. А атакующий работает в Ring 3 — и ему этого хватает.
🎯 Userland-руткиты перехватывают вызовы до ядра — на уровне libc или ntdll.dll. Никаких LKM, Secure Boot и риска kernel panic. Просто подмена реальности для всех userland-инструментов.
Переменная
LD_PRELOAD или запись в /etc/ld.so.preload заставляют каждый динамически слинкованный бинарь загружать вашу библиотеку. Перехватываешь readdir() — и ls, ps, netstat перестают видеть нужные файлы и процессы.🔍 Слепые пятна:
strace, сравнение /proc с сырыми syscall-данными, мониторинг /etc/ld.so.preload.В разборе — код для Linux и Windows, IAT/EAT hooking, DLL injection и детект каждой техники:
https://codeby.net/threads/userland-rootkit-tekhniki-sokrytiya-ld_preload-dll-injection-iat-eat-hooking-na-praktike.92638/