https://cyberveille.ch/tags/furtex/edrs-audit_kill/ Recent content in Furtex/Edrs Audit_kill on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sun, 02 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-02-furtex-toolkit-open-source-de-post-exploitation-et-d-evasion-linux-base-sur-ebpf-et-io-uring/ Sun, 02 Aug 2026 00:00:00 +0200 https://cyberveille.ch/posts/2026-08-02-furtex-toolkit-open-source-de-post-exploitation-et-d-evasion-linux-base-sur-ebpf-et-io-uring/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié sur GitHub par le compte <strong>MatheuZSecurity</strong>, le dépôt <strong>Furtex</strong> est un toolkit de post-exploitation et d&rsquo;évasion pour Linux, actif depuis environ deux semaines au moment de la publication (2026-08-02). Il est distribué sous licence MIT et compte déjà 237 étoiles et 25 forks.</p> <h2 id="-description-générale">🛠️ Description générale</h2> <p>Furtex est structuré en cinq modules principaux :</p> <ul> <li><strong><code>io_uring/</code></strong> : 13 outils exploitant l&rsquo;interface io_uring du noyau Linux pour contourner les hooks syscall classiques (lecture/écriture de fichiers, reverse shell, injection mémoire, exfiltration DNS, AF_PACKET, XDP)</li> <li><strong><code>bpf/</code></strong> : 15 outils de manipulation des maps et programmes BPF (reconnaissance, empoisonnement, détachement de liens BPF, backdoor ICMP)</li> <li><strong><code>ebpf/</code></strong> : 9 programmes BPF côté noyau (keylogger, capture TTY, masquage de ports/PIDs, C2 via BPF socket filter et XDP)</li> <li><strong><code>edrs/</code></strong> : 75 outils de contournement d&rsquo;EDR et de post-exploitation (détection d&rsquo;EDR, injection de processus, persistance, exfiltration, C2 multi-canaux, effacement de traces)</li> <li><strong><code>techniques/</code></strong> : 13 outils ciblant spécifiquement les <strong>25 règles par défaut de Falco</strong> (modern_ebpf driver)</li> </ul> <h2 id="-techniques-dévasion-clés">⚙️ Techniques d&rsquo;évasion clés</h2> <ul> <li><strong>io_uring</strong> contourne nativement la <code>sys_call_table</code>, les tracepoints <code>sys_enter_*</code> et les livepatches sur <code>native_sys_call</code></li> <li>Détachement de <strong>liens BPF LSM</strong> (KRSI) via <code>bpf_link_detach</code></li> <li>Désactivation de <strong>Linux Audit</strong> via <code>NETLINK_AUDIT</code></li> <li>Suppression des hooks <strong>PLT-GOT</strong> et <strong>kprobes/ftrace</strong></li> <li>Contournement de <strong>netfilter</strong> via AF_PACKET (couche 2) et AF_XDP</li> <li>Techniques de masquage : <code>prctl(PR_SET_NAME)</code>, process hollowing, namespace pivoting, cgroup escape</li> <li>Exfiltration via DNS, ICMP, splice(2), mémoire partagée POSIX, sockets Unix abstraits</li> <li>Persistance via <code>authorized_keys</code>, crontab, bashrc, <code>LD_PRELOAD</code></li> </ul> <h2 id="-cibles-déclarées">🎯 Cibles déclarées</h2> <p>Les outils ciblent explicitement : <strong>Falco</strong>, <strong>Tetragon</strong>, les EDR basés sur BPF/kprobes, <strong>Linux Audit</strong>, <strong>inotify</strong>, <strong>fanotify</strong>, et les hooks de type livepatch.</p>