In questo articolo Indice dei contenuti 2 sezioni
I finti processi kernel su Linux sono uno degli stratagemmi più subdoli con cui un malware riesce a passare inosservato su server e apparati di rete, anche quando qualcuno controlla con attenzione l’elenco dei processi attivi. Il trucco è semplice e proprio per questo efficace. Le backdoor vengono camuffate con nomi che richiamano i componenti interni del sistema operativo, così da confondere gli amministratori e rendere meno evidente la presenza di software non autorizzato. Il rischio riguarda chiunque gestisca infrastrutture aziendali, piattaforme di commercio elettronico o dispositivi basati su Linux, contesti in cui un’intrusione può mettere in pericolo dati sensibili e permettere attività illecite senza far scattare subito l’allarme.
Come il malware si mimetizza tra i processi del sistema
Per svolgere compiti essenziali, come la gestione della memoria o le operazioni legate ai dispositivi, Linux si affida a processi interni chiamati thread del kernel. Tra i nomi che compaiono più spesso ci sono kworker, kswapd e ksoftirqd. Vederli in esecuzione è del tutto normale ed è esattamente questo che li rende un travestimento perfetto. Un programma dannoso può infatti presentarsi con un’identità familiare e mescolarsi agli elementi legittimi che gli strumenti di monitoraggio mostrano ogni giorno.
Curiosamente non serve per forza un rootkit. Un eseguibile lanciato nello spazio utente è in grado di cambiare il nome con cui appare agendo sui parametri del processo oppure tramite specifiche chiamate di sistema, costruendo così una facciata ingannevole. Alcune varianti arrivano a usare nomi chiusi tra parentesi quadre, proprio come quelli che il comando ps mostra di solito per i thread del kernel. La somiglianza però resta in superficie, perché il programma conserva tutte le caratteristiche di un normale processo.
Le campagne individuate nel 2026 mostrano quanto questo espediente sia trasversale. StyleSmuggler, malware legato ad attacchi contro piattaforme di vendita online, è stato osservato mentre usava nomi fasulli. Strategie simili sono state adottate anche dalla botnet Tengu e da un agente di comando e controllo scritto in Go. Casi diversi che portano allo stesso punto, cioè che fidarsi soltanto del nome di un processo può lasciare spazio ad attività ostili.
Le verifiche utili per scovare le backdoor
Per smascherare un possibile intruso conviene guardare alle proprietà dei processi e non fermarsi alla denominazione che compare a schermo. Un autentico thread del kernel ha tratti ben precisi. Di norma non ha un eseguibile associato nello spazio utente, non occupa memoria utente come farebbe un programma qualsiasi e discende dal processo interno kthreadd. Se qualcosa si spaccia per thread del kernel ma mostra un eseguibile accessibile o un consumo di memoria rilevante, vale la pena approfondire.
Anche il confronto tra i campi comm e args può far emergere qualcosa di strano. Quando il nome breve del processo non coincide con quello riportato nella riga di comando, potrebbe trattarsi di un tentativo di mascheramento. Gli strumenti standard di Linux bastano per raccogliere queste informazioni, mentre un’analisi più accurata può passare in rassegna i dettagli disponibili sotto /proc. Nessun indicatore preso da solo prova con certezza un’infezione e i risultati vanno sempre letti alla luce del sistema che si sta esaminando.
Per chi amministra infrastrutture digitali la fiducia non può poggiare sull’aspetto di un componente software. Servono verifiche sistematiche, una buona conoscenza di come i sistemi dovrebbero comportarsi e procedure capaci di trasformare un’anomalia in un’indagine documentata. Se qualcosa non torna, la priorità è conservare le prove e coinvolgere il personale incaricato della risposta agli incidenti. Chiudere subito un processo sospetto senza averne studiato il comportamento rischia di cancellare tracce preziose per ricostruire l’intrusione. Un occhio di riguardo va riservato anche agli apparati di rete, soprattutto quando mettono a disposizione strumenti diagnostici limitati.
Fonte: TecnoAndroid