Sequestro via LD_PRELOAD.

Técnica Linux de persistência e sequestro de bibliotecas que usa a variável LD_PRELOAD ou /etc/ld.so.preload para injetar código do atacante em processos ligados dinamicamente. Pertence à categoria Ataques e ameaças da cibersegurança.

Técnica Linux de persistência e sequestro de bibliotecas que usa a variável LD_PRELOAD ou /etc/ld.so.preload para injetar código do atacante em processos ligados dinamicamente.

O sequestro via LD_PRELOAD (MITRE ATT&CK T1574.006) abusa do ligador dinâmico GNU em Linux e na maioria dos Unix. Ao definir LD_PRELOAD (para um processo ou shell de utilizador) ou ao escrever um caminho em /etc/ld.so.preload (todo o sistema), o atacante força o ld.so a carregar um objeto partilhado antes de qualquer outra biblioteca. O .so malicioso pode capturar símbolos da libc como readdir, open, accept ou write para esconder ficheiros e processos, roubar credenciais ou manter um rootkit em modo utilizador. Funciona em binários não setuid e é amplamente usada por famílias como HiddenWasp e Symbiote. Defesas: vigiar /etc/ld.so.preload (AIDE, auditd), restringi-lo a root, alertar para LD_PRELOAD inesperado e verificar a libc com ferramentas estáticas.

As defesas contra Sequestro via LD_PRELOAD costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.

Nomes alternativos comuns: Abuso de ld.so.preload, Sequestro de biblioteca partilhada.