Introdução
Um novo rootkit tecnicamente avançado chamado VoidLink emergiu como uma ameaça séria para sistemas Linux, combinando Módulos Carregáveis de Kernel (LKMs) com programas de filtro de pacote estendido do Berkeley (eBPF) para se esconder profundamente no núcleo do sistema operacional. Documentado pela primeira vez pela Check Point Research em janeiro de 2026, o VoidLink é um framework de malware nativo da nuvem escrito em Zig.
Descoberta e escopo
O que torna o VoidLink alarmante é a rapidez com que foi construído. A Check Point Research descobriu que um único desenvolvedor produziu o framework completo através de fluxos de trabalho assistidos por IA usando o ambiente de desenvolvimento integrado TRAE, indo do conceito a um implante funcional em menos de uma semana. O rootkit disfarça-se sob o nome de módulo vl_stealth, ou em algumas variantes amd_mem_encrypt, impersonando um driver legítimo de memória AMD para evitar levantar suspeitas em servidores de nuvem.
Analistas do Elastic Security Labs identificaram a arquitetura mais profunda do malware após obter um dump de dados contendo o código-fonte do VoidLink, binários compilados e scripts de implantação. O dump revelou um framework de rootkit multigeracional desenvolvido e testado em sistemas reais, desde CentOS 7 até Ubuntu 22.04. Cada arquivo de código-fonte foi anotado em chinês simplificado, e as referências de infraestrutura apontavam para endereços IP do Alibaba Cloud, vinculando firmemente a operação a um ator de ameaça falante de chinês.
Arquitetura de ocultação híbrida
A característica mais tecnicamente impressionante do VoidLink é seu design híbrido, dividindo funções entre dois componentes distintos. A maioria dos rootkits Linux depende de um único método de ocultação, seja um LKM, um programa eBPF ou uma biblioteca compartilhada injetada. O VoidLink implanta ambos simultaneamente, com cada componente lidando com o papel que executa de forma mais confiável.
Usando o framework de rastreamento de funções do kernel Linux, o componente LKM hooka chamadas de sistema, intercepta listagens de diretório getdents64 para ocultar arquivos e processos, e filtra a saída de /proc/modules e /proc/kallsyms para apagar suas próprias trilhas. Ele também executa um canal de comando secreto através de hooks Netfilter, processando silenciosamente instruções de operador criptografadas XOR escondidas dentro de pacotes ping ordinários sem resposta gerada.
O componente eBPF cobre uma lacuna que o LKM não pode alcançar: ocultar conexões ativas do comando ss. Diferente do netstat, que lê de /proc/net/tcp, a utilidade ss consulta o kernel através de sockets Netlink, um caminho de dados fora do controle do LKM. O programa eBPF do VoidLink hooka __sys_recvmsg e modifica respostas Netlink na memória do espaço do usuário.
Vetor e exploração
O impacto do rootkit é significativo. O VoidLink oculta processos em execução, conexões de rede e arquivos de administradores enquanto recebe comandos através de um canal ICMP secreto sem portas ou tráfego visíveis. Sua variante mais recente, chamada Ultimate Stealth v5, introduz instalação de hook atrasada, temporizadores anti-debugging, proteção contra término de processo e nomes de módulo ofuscados XOR, tornando a investigação forense extremamente difícil.
O VoidLink não é uma ferramenta independente. Seu script de boot loader, load_lkm.sh, verifica implantes sem arquivo em execução a partir de descritores de arquivo de memória anônima e os oculta na ativação, confirmando que o VoidLink foi projetado para proteger um implante companheiro, provavelmente um reverse shell, já em execução no alvo comprometido.
Medidas de mitigação recomendadas
As equipes de segurança devem tomar várias medidas para limitar a exposição a rootkits como o VoidLink. A implementação do Secure Boot e a assinatura de módulos de kernel bloqueiam LKMs não autorizados de serem carregados. A ativação do modo de bloqueio do kernel, disponível desde o Linux 5.4, restringe operações de kernel sensíveis mesmo para usuários root.
A auditoria das chamadas de sistema init_module e finit_module via Auditd revela atividade inesperada de módulos cedo. A restrição da chamada de sistema bpf() através de perfis seccomp e a ativação de kernel.unprivileged_bpf_disabled reduzem o risco de abuso eBPF. A referência cruzada regular de ps, ss e entradas de diretório /proc diretas pode expor atividade oculta mesmo quando ferramentas de monitoramento individuais não reportam nada suspeito.
O que os CISOs devem fazer imediatamente
1. Implementar Secure Boot e assinatura de módulos de kernel em todos os servidores Linux. 2. Ativar o modo de bloqueio do kernel (kernel lockdown mode) em sistemas críticos. 3. Auditar chamadas de sistema init_module e finit_module via Auditd. 4. Restringir a chamada de sistema bpf() através de perfis seccomp. 5. Realizar referência cruzada regular de ps, ss e /proc para detectar anomalias.
Perguntas frequentes
O que é o VoidLink? Um rootkit Linux avançado que usa LKM e eBPF para ocultação profunda. Como foi desenvolvido? Por um único desenvolvedor usando IA e ambiente TRAE em menos de uma semana. Qual a linguagem? Escrito em Zig, com código-fonte anotado em chinês simplificado.