Nova Técnica de Ataque 'Fileless' Bypassa Detecções de Segurança com O_TMPFILE

A mais recente técnica de ataque 'fileless' utiliza uma combinação engenhosa de recursos do kernel Linux, a flag O_TMPFILE na chamada open() e a função execveat() com AT_EMPTY_PATH. O O_TMPFILE permite criar um arquivo temporário no sistema de arquivos real (como /tmp), mas sem nunca associar uma entrada de diretório a ele. Isso significa que o arquivo, apesar de existir no disco físico com um inode real, fica invisível para ferramentas que dependem da hierarquia de diretórios, como ls, find e mecanismos de monitoramento como inotify ou fanotify.

Para a execução, o ataque explora o fato de que o kernel recusa a execução de um descritor de arquivo aberto para escrita. A solução é reabrir o inode do payload em modo somente leitura via /proc/self/fd/. Em seguida, a função execveat(AT_EMPTY_PATH) é invocada, recebendo diretamente o descritor de arquivo. Com isso, o kernel carrega e executa o binário ELF sem precisar resolver um caminho de arquivo. O processo em execução aparece em telemetrias como /tmp/#N (deleted), um indicativo comum para arquivos legítimos que foram excluídos após a abertura, o que dificulta ainda mais a detecção baseada em anomalias.

Esta nova técnica representa uma evolução significativa nos métodos de evasão. Pesquisas anteriores, como a do Elastic Security Labs com o FENIX, mapearam até 15 técnicas de execução 'fileless' que abrangiam diversos armazenamentos de dados. Contudo, a combinação específica de O_TMPFILE e execveat(AT_EMPTY_PATH) não estava coberta por essa matriz. Ela burla as detecções atuais focadas em artefatos de memfd_create, que buscam prefixos como memfd: ou identificadores de dispositivo específicos, pois o O_TMPFILE opera através do caminho normal de open() em um sistema de arquivos montado.

A capacidade de executar código malicioso sem deixar rastros facilmente detectáveis é um desafio sério para a segurança cibernética. Esta técnica, ao contornar a criação de entradas de diretório e evitar artefatos conhecidos de outras abordagens 'fileless', se torna uma ferramenta potente para atacantes. Sistemas de detecção e resposta (EDRs) que confiam em monitoramento de arquivos, eventos de criação ou padrões de memfd_create serão ineficazes. Isso exige uma reavaliação das estratégias de monitoramento, focando em chamadas de sistema de baixo nível e na correlação de eventos que antes eram considerados normais, como o sufixo (deleted) em processos.