Перехват через LD_PRELOAD.

Техника закрепления и подмены библиотек в Linux, использующая переменную LD_PRELOAD или /etc/ld.so.preload для внедрения кода в процессы с динамической компоновкой. Относится к категории Атаки и угрозы в кибербезопасности.

Техника закрепления и подмены библиотек в Linux, использующая переменную LD_PRELOAD или /etc/ld.so.preload для внедрения кода в процессы с динамической компоновкой.

Перехват через LD_PRELOAD (MITRE ATT&CK T1574.006) использует динамический загрузчик GNU в Linux и большинстве Unix-подобных систем. Установив LD_PRELOAD для процесса или сессии или прописав путь в /etc/ld.so.preload (для всей системы), злоумышленник заставляет ld.so загрузить заданный разделяемый объект раньше других библиотек. Вредоносный .so может перехватывать функции libc — readdir, open, accept, write — чтобы скрывать файлы и процессы, красть учётные данные или поддерживать пользовательский руткит. Метод работает с не-setuid бинарниками и используется такими семействами, как HiddenWasp и Symbiote. Защита: мониторинг /etc/ld.so.preload (AIDE, auditd), ограничение записи только root, обнаружение нежелательного LD_PRELOAD и проверка libc статически слинкованными инструментами.

Защита от Перехват через LD_PRELOAD обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Злоупотребление ld.so.preload, Перехват разделяемой библиотеки.