LD_PRELOAD ハイジャック.

LD_PRELOAD 環境変数または /etc/ld.so.preload を悪用し、動的リンクされたプロセスへ攻撃者コードを注入する Linux 持続化およびライブラリ ハイジャック手法。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

LD_PRELOAD 環境変数または /etc/ld.so.preload を悪用し、動的リンクされたプロセスへ攻撃者コードを注入する Linux 持続化およびライブラリ ハイジャック手法。

LD_PRELOAD ハイジャック(MITRE ATT&CK T1574.006)は、Linux や多くの Unix 系で用いられる GNU 動的リンカを悪用します。攻撃者は単一プロセスやユーザー シェルに対し LD_PRELOAD を設定するか、/etc/ld.so.preload にパスを書き込むことで(システム全体)、ld.so が任意の共有オブジェクトを他のライブラリより先に読み込むよう強制します。悪意ある .so は readdir・open・accept・write などの libc シンボルをフックし、ファイルやプロセスを隠蔽し、資格情報を盗み、ユーザー モード ルートキットを維持できます。本手法は非 setuid バイナリに有効で、HiddenWasp や Symbiote などの Linux マルウェアで広く使われます。対策は AIDE・auditd による /etc/ld.so.preload の監視、root のみ書き込み許可、想定外の LD_PRELOAD の検知、静的リンクされたツールでの libc 検証です。

LD_PRELOAD ハイジャック に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: ld.so.preload 悪用, 共有ライブラリ ハイジャック。