Finti processi kernel su Linux: così il malware inganna gli amministratori

I server Linux e gli apparati di rete possono ospitare minacce informatiche difficili da individuare anche durante un controllo ordinario dei processi attivi.

Una delle tecniche utilizzate dagli aggressori consiste nel camuffare le backdoor con nomi che ricordano quelli dei componenti interni del sistema operativo. L’obiettivo è confondere gli amministratori e rendere meno evidente la presenza di programmi non autorizzati.

Un’analisi pubblicata da Eclypsium e ripresa da Security Boulevard descrive questo metodo, illustrando come distinguere i processi legittimi dalle imitazioni malevole. Il problema interessa chi gestisce infrastrutture aziendali, piattaforme e-Commerce e dispositivi basati su Linux, dove un’intrusione può compromettere informazioni sensibili e consentire attività illecite senza attirare immediatamente l’attenzione.

Come il malware si nasconde tra i processi Linux

Il sistema operativo utilizza processi interni chiamati thread del kernel per svolgere attività essenziali, dalla gestione della memoria alle operazioni legate ai dispositivi. Tra i nomi più comuni figurano kworker, kswapd e ksoftirqd. La loro presenza è normale e, proprio per questo, rappresenta un’opportunità per chi sviluppa malware: un programma dannoso può adottare un’identità apparentemente familiare e confondersi con gli elementi legittimi mostrati dagli strumenti di monitoraggio.

La tecnica non richiede necessariamente un rootkit. Un eseguibile avviato nello spazio utente può modificare il nome visualizzato attraverso parametri del processo o specifiche chiamate di sistema, creando un’apparenza ingannevole. Alcune varianti sfruttano nomi racchiusi tra parentesi quadre, simili a quelli mostrati normalmente da ps per i thread del kernel. Tuttavia, la somiglianza è soltanto estetica: il programma continua a conservare caratteristiche proprie di un processo ordinario.

Le campagne individuate nel 2026 dimostrano come questo espediente venga impiegato in contesti differenti. Il malware StyleSmuggler, associato ad attacchi contro piattaforme di commercio elettronico, è stato osservato con nomi ingannevoli; anche la botnet Tengu e un agente di comando e controllo scritto in Go hanno utilizzato strategie analoghe. Questi esempi evidenziano perché affidarsi esclusivamente al nome di un processo possa lasciare passare attività ostili.

Quali controlli aiutano a individuare le backdoor

Per riconoscere un possibile intruso, gli amministratori dovrebbero esaminare le proprietà dei processi anziché limitarsi alla denominazione visualizzata.

Un vero thread del kernel presenta caratteristiche specifiche: normalmente non dispone di un eseguibile associato nello spazio utente, non occupa memoria utente come un programma ordinario e discende dal processo interno kthreadd. Un processo sospetto che dichiara di essere un thread del kernel, ma mostra un eseguibile accessibile o un consumo di memoria significativo, merita quindi un approfondimento.

Anche il confronto tra i campi comm e args può rivelare incongruenze. Se il nome breve del processo non corrisponde a quello presentato nella riga di comando, potrebbe esserci un tentativo di mascheramento. Gli strumenti standard di Linux consentono di raccogliere queste informazioni, mentre un controllo più approfondito può verificare i dettagli disponibili sotto /proc. Nessun singolo indicatore, comunque, dimostra automaticamente la presenza di un’infezione: è necessario interpretare i risultati nel contesto del sistema esaminato.

Se emergono anomalie, è importante conservare le evidenze e coinvolgere il personale responsabile della risposta agli incidenti. Terminare subito un processo sospetto senza averne analizzato il comportamento potrebbe compromettere informazioni utili a ricostruire l’intrusione. Anche gli apparati di rete meritano attenzione, soprattutto quando offrono strumenti diagnostici limitati.

La lezione per chi amministra infrastrutture digitali è che la fiducia non può basarsi sull’apparenza di un elemento software. Una difesa efficace richiede verifiche sistematiche, conoscenza del comportamento atteso dei sistemi e procedure capaci di trasformare un’anomalia in un’indagine documentata.