T1546.017: Udev 规则

摘要

攻击者可能通过执行由 udev 规则触发的恶意内容来维持持久化。Udev 是 Linux 内核设备管理器，它动态管理设备节点、处理对 `/dev` 目录中伪设备文件的访问，并响应硬件事件，例如当硬盘或键盘等外部设备被插入或移除时。Udev 使用带有 `match keys` 的规则文件来指定硬件事件必须满足的条件，并使用 `action keys` 来定义随后应执行的操作。创建、修改或删除位于 `/etc/udev/rules.d/`、`/run/udev/rules.d/`、`/usr/lib/udev/rules.d/`、`/usr/local/lib/udev/rules.d/` 和 `/lib/udev/rules.d/` 中的规则文件需要 root 权限。规则优先级由目录和规则文件名中的数字前缀共同决定。(Citation: Ignacio Udev research 2024)(Citation: Elastic Linux Persistence 2024) 攻击者可能通过添加或修改 udev 规则文件中的规则来滥用 udev 子系统以执行恶意内容。例如，攻击者可能配置一条规则，在应用程序每次访问伪设备文件（如 `/dev/random`）时执行其二进制文件。尽管 udev 限于运行短任务并受 systemd-udevd 沙箱（阻止网络和文件系统访问）的限制，攻击者仍可能在 `RUN+=` 操作键下使用脚本命令来分离并在后台运行恶意内容的进程，以绕过这些控制。(Citation: Reichert aon sedexp 2024)