Open source'owy anty-ransomware dla Linuksa (Rust + eBPF). Wykrywa masowe szyfro

Mireczki, krótka piłka ( ʖ ) Talus podpina się pod syscalle (openat, execve, unlink) przez eBPF, liczy otwarcia plików per proces w przesuwnym oknie i jak przekroczy próg wysyła SIGKILL szyfrującemu procesowi. Bez sygnatur, bez modułu j---a, jeden binarny plik ~2 MB. Do tego podgląd połąc

[Silvia_Torque]

Mi by wystarczył taki ubijacz procesów, gdy cokolwiek zajrzy do pliku do którego nic nie powinno zaglądać.

[ksiak]

@Silvia_Torque: apparmor/selinux się zainteresuj

[kwanty]

Mi by wystarczył taki ubijacz procesów, gdy cokolwiek zajrzy do pliku do którego nic nie powinno zaglądać.

@Silvia_Torque: Przecież standardowy moduł SELinux (Security-Enhanced Linux) tak działa. Aktywny chyba w każdej nowej dystrybucji. Możesz zdefiniować dokładnie który proces ma dostęp do którego pliku (czyli też urządzenia takiego jak GPU). Listy, wyrażenia regularne, polityki cokolwiek chcesz. Jak chcesz to dostaniesz info w logach że proces próbował, nie wiem czy można go za

[dominium]

Po co puszczasz to czysty syf z claude? W jakim celu usuwasz info o autorze? „ If AI wrote the whole damn thing — what the fuck was your part?”

[dominium]

@dominium: btw „19 y/o · Poland · open to first paid role” - ten świat schodzi na psy - to z jego GitHub.

[Ilirian]

what the fuck was your part

@dominium: Jego zadaniem jest marketing, czyli nagonienie frajerów na płacenie $150. Pytanie tylko po co mam płacić za coś co wygenerowało AI skoro mogę ominąć pośrednika i użyć AI do wygenerowania podobnego narzędzia.

[fenio]

Ambitnie, że od razu z cennikiem, licencjami etc. Ile realnych ransomware linuksowych przetestowałeś w boju?
Czy to ma bardziej chronić zasoby udostępniane z Linuksa innym systemom?

[RRybak]

C---a a nie open sourcowy. Napisane przez AI, wszystko co w tytule na płatnej licencji

[heron]

Dobrze rozumiem, że wrzuciłeś coś na licencji mit i liczysz, że ktoś za to zapłaci? Raczej drugim M$ to nie zostaniesz.

[Kreutz-u]

koncepcyjnie solidne (eBPF + kernel-level to dobry kierunek), ale sama heurystyka detekcji jest prymitywna i trywialna do obejścia przez każde realne ransomware zaprojektowane z myślą o unikaniu rate-based EDR. Jako projekt do zabawy/nauki eBPF — ciekawy. Jako realna linia obrony na produkcji — nie polegałbym na tym jako jedynej warstwie

[WMPP]

@Kreutz-u: zapytaj chata jak unikają edr

[ShadowDancer]

@Kreutz-u: no właśnie, to brzmi zbyt trywialnie - wystarczyłoby odpalać różne procesy, albo przez jakiegoś crona szyfrując dysk po kilkaset plików

[blargotron]

# Terminal 2 — simulate ransomware-like mass file encryption

for i in $(seq 1 500); do touch /tmp/victim$i.enc && cat /tmp/victim$i.enc >/dev/null; done

W jaki sposób to symuluje ransomware? Podobną aktywność wykonuje cokolwiek kopiujące katalog.

[Edisni]

Wygląda na przydatny. Ciekawe po czym rozpoznaje szyfrowanie, a nie odczyt? Po zapisie? A jak program szyfrujący robi zaszyfrowaną kopię, a oryg usuwa? Nie znam się, tak pytam.

[Piter2013]

@Edisni: nie rozpoznaje, liczy ile dany proces "dotykał" plików jeżeli np. w ostatnich 15 minutach więcej niz 100szt - ubija proces

[con987]

@Piter2013: widzę tu potencjalny problem chociażby z przeglądarką zdjęć, generowanie miniatur z folderu zawierającego więcej niż 100 plików będzie zawsze uwalone. Tak samo jak np zipowanie większej ilości plików

[jacke]

Vajbować czy nie vajbować, oto jest pytanie.

[spnt]

Brawo Mireczku