Rootkit eBPF Ancaman Baru Linux Sulit Dideteksi

Rootkit eBPF Ancaman Baru Linux Sulit Dideteksi – Linux dikenal sebagai salah satu sistem operasi yang banyak digunakan untuk menjalankan server, pusat data, layanan cloud, dan berbagai infrastruktur digital.

Keandalannya membuat Linux menjadi pilihan bagi banyak organisasi. Namun, teknologi yang dirancang untuk meningkatkan kemampuan dan keamanan sistem ini ternyata juga dapat disalahgunakan oleh pelaku kejahatan siber.

Salah satu teknologi yang mulai menarik perhatian adalah extended Berkeley Packet Filter (eBPF). Teknologi ini memungkinkan program tertentu dijalankan di dalam kernel Linux tanpa harus membuat atau memuat modul kernel tradisional.

Dalam penggunaan normal, eBPF membantu pemantauan jaringan, analisis kinerja, dan pengamanan sistem.

Masalah muncul ketika kemampuan tersebut dimanfaatkan untuk membuat rootkit, yaitu malware yang dirancang menyembunyikan aktivitas berbahaya dan mempertahankan akses tersembunyi pada perangkat yang telah dikuasai.

Penelitian terbaru menemukan bahwa kode dan panduan pembuatan rootkit berbasis eBPF mulai dibagikan di forum bawah tanah.

Perkembangan ini menunjukkan bahwa teknik yang sebelumnya banyak dibahas dalam penelitian keamanan kini semakin mudah dipelajari oleh pihak yang berniat menyalahgunakannya.

Apa Itu eBPF dan Mengapa Berbahaya?

Untuk memahami ancaman ini, kita perlu mengenal terlebih dahulu cara kerja eBPF.

Kernel merupakan bagian inti sistem operasi yang mengatur komunikasi antara perangkat keras, aplikasi, memori, dan sumber daya komputer lainnya.

Pada Linux, eBPF memungkinkan program kecil dijalankan pada titik-titik tertentu di dalam kernel untuk mengamati atau memproses aktivitas sistem.

Sebagai contoh, administrator dapat menggunakan eBPF untuk:

Memantau lalu lintas jaringan.
Menganalisis penggunaan CPU dan memori.
Mengamati aktivitas aplikasi.
Mendeteksi perilaku yang mencurigakan.
Membantu pengamanan infrastruktur Linux.

Keunggulan eBPF terletak pada kemampuannya menjalankan program di lingkungan kernel dengan mekanisme pemeriksaan keamanan bawaan. Pengembang tidak harus membuat modul kernel khusus untuk setiap kebutuhan pemantauan.

Namun, kemampuan mengamati dan memengaruhi aktivitas sistem tersebut juga dapat dimanfaatkan oleh penyerang.

Program eBPF berbahaya dapat digunakan untuk memantau komunikasi, menyembunyikan proses, memanipulasi lalu lintas jaringan, atau menjalankan fungsi tertentu secara tersembunyi.

Inilah yang membuat eBPF berpotensi menjadi alat bagi pengembangan rootkit generasi baru.

Perbedaan Rootkit Tradisional dan Rootkit eBPF

Rootkit merupakan malware yang berusaha menyembunyikan keberadaan dirinya atau aktivitas penyerang dari pengguna dan sistem keamanan.

Rootkit Linux tradisional sering menggunakan Loadable Kernel Module (LKM), yaitu modul yang dapat dimuat ke dalam kernel untuk menambahkan atau mengubah fungsi tertentu.

Karena modul tersebut harus dimuat ke kernel, aktivitasnya dapat diperiksa melalui mekanisme seperti perintah lsmod. Sistem keamanan juga dapat memantau proses pemuatan modul yang tidak dikenal.

Rootkit berbasis eBPF memiliki pendekatan berbeda. Program berbahaya dapat memanfaatkan antarmuka eBPF yang memang disediakan oleh kernel tanpa harus memuat modul kernel tradisional.

Akibatnya, pemeriksaan sederhana menggunakan lsmod belum tentu dapat menemukan keberadaan program tersebut.

Tantangan lainnya adalah membedakan program eBPF yang sah dengan program yang digunakan untuk aktivitas berbahaya. Keduanya dapat memanfaatkan mekanisme kernel yang sama, sehingga administrator perlu memeriksa siapa yang memuat program, tujuan penggunaannya, serta lokasi program tersebut dipasang.

Dari Penelitian Keamanan hingga Forum Kejahatan Siber

Penyalahgunaan teknologi BPF bukan hal yang sepenuhnya baru. Sejumlah malware dan penelitian keamanan sebelumnya telah memperlihatkan bagaimana teknologi ini dapat dimanfaatkan untuk menyembunyikan aktivitas pada sistem Linux.

Beberapa contoh yang perlu diketahui antara lain:

1. BPFDoor

BPFDoor merupakan backdoor Linux yang menggunakan filter BPF untuk mengenali paket jaringan tertentu. Malware ini dapat menunggu paket dengan karakteristik khusus sebelum mengaktifkan akses tersembunyi.

Setelah menerima pemicu yang sesuai, malware dapat membuka akses jarak jauh melalui mekanisme seperti reverse shell. Aktivitasnya pernah dikaitkan dengan serangan terhadap organisasi di kawasan Timur Tengah dan Asia.

2. Symbiote

Symbiote merupakan malware Linux yang menggunakan pendekatan berbeda. Malware ini memanfaatkan mekanisme dynamic linker untuk memasukkan pustaka berbahaya ke dalam proses yang berjalan.

Symbiote juga menyalahgunakan filter BPF untuk menyembunyikan lalu lintas tertentu dari pemantauan jaringan. Dengan cara tersebut, aktivitas malware dapat lebih sulit terlihat oleh perangkat pemantauan biasa.

3. LinkPro

Pada Oktober 2025, peneliti mengungkap LinkPro setelah menyelidiki insiden yang bermula dari server Jenkins yang terbuka. Malware

ini menggunakan program eBPF untuk menyembunyikan aktivitas pada sistem dan mengaktifkan backdoor ketika menerima paket jaringan dengan karakteristik tertentu.

Temuan yang lebih baru menunjukkan bahwa teknik tersebut mulai dibahas secara lebih terbuka di forum bawah tanah. Salah satu unggahan berbahasa Rusia di forum Duty Free berisi panduan pembuatan rootkit eBPF, termasuk kode sumber dan gambar yang diklaim sebagai demonstrasi.

Panduan tersebut membahas teknik menyembunyikan proses, mengaktifkan implant melalui paket TCP tertentu, serta mengenkripsi komunikasi dengan AES-256-GCM.

Peneliti juga menemukan 10 unggahan Pastebin terkait yang berisi kode pemrosesan paket menggunakan XDP, salah satu teknologi eBPF untuk memproses paket jaringan.

Peredaran panduan semacam ini menjadi perhatian karena dapat membantu memperluas penyalahgunaan teknologi yang sebelumnya membutuhkan pengetahuan teknis cukup tinggi.

Bagaimana eBPF Rootkit Menyembunyikan Aktivitas?

Salah satu kemampuan berbahaya rootkit eBPF adalah menyamarkan aktivitasnya dengan memanfaatkan fungsi sistem yang sah.

Beberapa teknik yang ditemukan dalam penelitian tersebut meliputi:

Menyembunyikan proses: penyerang dapat memanfaatkan pengait (hook) pada fungsi sistem seperti getdents64 untuk menyembunyikan entri proses atau direktori tertentu dari hasil pemeriksaan.

Aktivasi melalui paket khusus: malware dapat menunggu paket jaringan dengan karakteristik tertentu sebelum menjalankan perintah atau mengaktifkan akses tersembunyi.

Memanipulasi lalu lintas jaringan: program eBPF dapat memeriksa dan memproses paket melalui titik pengait jaringan seperti XDP.

Menyamarkan komunikasi: komunikasi antara malware dan pengendali dapat dienkripsi agar isi pertukaran data lebih sulit diperiksa.

Baca artikel lainnya: