MITRE ATT&CK - Técnica

T1055.014: VDSO Hijacking

VDSO Hijacking (T1055.014) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1055.014 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, VDSO Hijacking deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Stealth e Privilege Escalation. As plataformas mapeadas pela MITRE incluem Linux. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Stealth, Privilege Escalation
Plataformas MITRE Linux

Descrição oficial original do MITRE ATT&CK

Adversaries may inject malicious code into processes via VDSO hijacking in order to evade process-based defenses as well as possibly elevate privileges. Virtual dynamic shared object (vdso) hijacking is a method of executing arbitrary code in the address space of a separate live process. VDSO hijacking involves redirecting calls to dynamically linked shared libraries. Memory protections may prevent writing executable code to a process via Ptrace System Calls. However, an adversary may hijack the syscall interface code stubs mapped into a process from the vdso shared object to execute syscalls to open and map a malicious shared object. This code can then be invoked by redirecting the execution flow of the process via patched memory address references stored in a process' global offset table (which store absolute addresses of mapped library functions). Running code in the context of another process may allow access to the process's memory, system/network resources, and possibly elevated privileges. Execution via VDSO hijacking may also evade detection from security products since the execution is masked under a legitimate process.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica VDSO Hijacking automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma