Détournement LD_PRELOAD.

Technique Linux de persistance et de détournement de bibliothèque qui exploite la variable LD_PRELOAD ou /etc/ld.so.preload pour injecter du code dans les processus liés dynamiquement. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Technique Linux de persistance et de détournement de bibliothèque qui exploite la variable LD_PRELOAD ou /etc/ld.so.preload pour injecter du code dans les processus liés dynamiquement.

Le hijacking LD_PRELOAD (MITRE ATT&CK T1574.006) abuse de l'éditeur de liens dynamique GNU sous Linux et la plupart des Unix. En définissant LD_PRELOAD (pour un processus ou une session) ou en inscrivant un chemin dans /etc/ld.so.preload (système entier), l'attaquant force ld.so à charger une bibliothèque partagée avant toute autre. Le .so malveillant peut intercepter des symboles libc tels que readdir, open, accept ou write pour masquer fichiers et processus, voler des identifiants ou maintenir un rootkit utilisateur. La technique fonctionne sur les binaires non setuid et est largement utilisée par des familles comme HiddenWasp et Symbiote. Défenses : surveiller /etc/ld.so.preload (AIDE, auditd), le restreindre à root, détecter les LD_PRELOAD inattendus, vérifier libc avec des outils statiques.

Les défenses contre Détournement LD_PRELOAD combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : Abus de ld.so.preload, Hijack de bibliothèque partagée.