VoidLink:隐秘的云原生Linux恶意软件框架剖析

注：本文翻译自 Check Point 的文章《Unveiling VoidLink – A Stealthy, Cloud-Native Linux Malware Framework》^[1]，可点击文末“阅读原文”按钮查看英文原文。

全文如下：

要点总结

• • VoidLink 是一个高级恶意软件框架，由定制的加载器、植入程序、rootkit和模块化插件组成，旨在长期驻留 Linux系统。该框架包含多项专注于云的功能和模块，专为在云和容器环境中长期可靠运行而设计。
• • VoidLink 的架构极其灵活且高度模块化，围绕一个自定义插件API构建，其设计理念似乎借鉴了Cobalt Strike的信标对象文件（BOF，Beacon Object Files）方法。默认提供超过 30+个插件模块 来使用此API。
• • VoidLink 采用了多重操作安全机制，包括运行时代码加密、被篡改时自删除、基于检测环境的自适应行为，以及一系列用户模式和内核级rootkit功能。
• • 该框架似乎由与中国有关联的威胁行为者构建和维护（具体关联尚不明确），并且仍在积极演进。其整体设计和详尽的文档表明其旨在用于商业目的。
• • 开发者展现出高水平的技术专长，精通包括Go、Zig、C以及React等现代框架在内的多种编程语言。此外，攻击者具备深厚的复杂操作系统内部知识，使其能够开发先进且复杂的解决方案。

一、VoidLink - 一个云优先的恶意软件框架

2025年12月，Check Point Research 识别出一小簇先前未见的Linux恶意软件样本，它们似乎源自中文开发环境。许多二进制文件包含了调试符号和其他开发产物，这表明我们看到的可能是正在开发中的版本，而非已完成并广泛部署的工具。样本间变化的速度和多样性表明，该框架正在快速迭代，以实现更广泛的现实世界应用。

该框架在其原始开发者的内部被称为 VoidLink，是一个用Zig语言编写的云优先植入程序，旨在现代基础设施中运行。它能够识别主流云环境，检测自身是否在Kubernetes或Docker内部运行，并据此调整其行为。VoidLink还会收集与云环境和常见源代码版本控制系统（如Git）相关的凭据，这表明软件工程师是其潜在目标，目的可能是间谍活动或未来潜在的供应链攻击。

VoidLink 的功能集异常广泛。它包括类似rootkit的功能（LD_PRELOAD、LKM和eBPF）、一个用于扩展功能的内存插件系统，以及基于检测到的安全产品来调整运行时规避策略的自适应隐身机制——在受监控环境中更看重操作安全而非性能。它还支持多种命令与控制通道，包括HTTP/HTTPS、ICMP和DNS隧道，并能在受感染主机之间形成P2P/网状通信。在最新样本中，大多数组件似乎已接近完成，同时还有一个功能性的C2服务器和一个集成到单一生态系统中的仪表板前端。

该框架的预期用途尚不明确，截至本文撰写时，尚未观察到其真实世界感染的证据。其构建方式表明，它最终可能定位为商业用途，无论是作为产品提供，还是为特定客户开发的框架。

二、命令与控制面板

为了更好地管理攻击，VoidLink 配备了一个基于 Web 的仪表板，使操作者能够完全控制正在运行的代理（agent）、植入程序（implant）和插件。该界面已针对中文操作者本地化，但其导航布局遵循了常见的 C2 面板结构：左侧边栏将页面分组为 仪表盘、攻击 和 基础设施。仪表盘部分涵盖了核心的操作循环（代理管理器、内置终端和植入程序构建器）。而 Attack 部分则组织漏洞后利用的活动，例如侦察（reconnaissance）、凭据访问（credential access）、持久化（persistence）、横向移动（lateral movement）、进程注入（process injection）、隐身（stealth）和证据擦除（evidence wiping）。

生成器（Generator） 面板是 VoidLink 的构建界面，使威胁行为者能够按需生成额外的、自定义的植入程序变种。操作者可以在此界面选择所需的功能集，并调整整体的规避策略。该面板还暴露了操作参数，如植入程序的心跳或信标间隔（heartbeat/beaconing interval），允许攻击者通过控制植入程序检查任务和执行任务的频率来平衡响应速度与隐身性。所有这些参数也可以在运行时更改。

仪表板中最有趣的组件是插件管理面板。它允许操作者向受害者部署选定模块，并上传自定义模块。在我们的研究期间，共有 37 个插件可用，分为几类：工具（Tools）、反取证（Anti-Forensics）、侦察（Reconnaissance）、容器（Containers）、权限提升（Privilege Escalation）、横向移动（Lateral Movement）和“其他”（Others）（详见下文“插件系统”）。

三、技术概览

VoidLink 是一个令人印象深刻的软件，它使用 Zig 语言编写，针对 Linux 系统，其复杂程度远超典型的 Linux 恶意软件。其基础是一个维持植入程序稳定性的传统核心。该核心负责管理全局状态、通信和任务执行。在这个精心设计的核心之上，承载了多项功能，使该恶意软件成为一个功能齐全的 C2 框架。

VoidLink 通过一个两阶段加载器交付，最终的植入程序中嵌入了核心模块，但外部代码可以在运行时作为插件下载：

3.1 云优先的战术技巧

VoidLink 是一个云优先的 Linux 植入程序。一旦机器被感染，它会检查受感染系统，并能检测出受感染机器运行在哪家云服务提供商之下。目前，VoidLink 可以检测 AWS、GCP、Azure、阿里云和腾讯云，并计划增加对华为云、DigitalOcean 和 Vultr 的检测。对于所有这些云提供商，VoidLink 会使用各自厂商的 API 查询实例元数据的额外信息。

除了云检测，它还会收集关于受感染机器的大量信息，枚举其虚拟机管理程序，并检测其是否运行在 Docker 容器或 Kubernetes Pod 中。

为了便于在容器化环境中进行数据外泄、权限提升和横向移动，该框架实现了多个漏洞后利用模块——从自动化的容器逃逸、密钥提取到专门的横向移动命令。

最终，该植入程序的目标似乎是获得隐秘的、长期的访问权限，进行监视和数据收集。

3.2 插件开发 API

除了核心模块和命令外，VoidLink 框架还提供了一个广泛的开发 API，类似于（并且很可能借鉴了）Cobalt Strike 及其 Beacon API。该 API 在恶意软件初始化期间通过创建一个包含所有可用 API 的导出表来设置。

在开发 VoidLink 插件时，开发者可以引用这些 API 来实现例如读取文件、创建套接字连接、执行文件、从共享库中解析例程（routine）或向 C2 控制台输出日志等功能。整个 API 基于直接系统调用（direct syscalls）操作，绕过了 libc 钩子。

3.3 自适应隐身

启动时，VoidLink 会枚举已安装的安全产品和加固措施，包括 Linux EDRs 和内核加固技术。然而，这些信息不仅会返回给操作者，还会被用来计算环境的风险评分，并建议规避策略。这些策略随后被用于其他模块以影响其行为。例如，在已部署监控且风险相对较高的环境中，端口扫描会执行得更慢，控制也更精细。这种自适应隐身模式是 VoidLink 的核心原则之一，并贯穿于整个框架。

3.4 Rootkit 模块

另一个值得注意的组件是一个帮助 VoidLink 融入正常系统活动的监视器。它通过读取机器遥测数据（CPU、内存、网络和活动进程），解析这些数据，并创建自适应间隔与 C2 通信，从而构建主机行为画像，约束条件包括工作时间段和低活动时段。

一个隐身模块集成了先进的隐藏技术，包括内核级技术。它维护着一系列针对多个内核版本定制的 rootkits。它将它们与 eBPF 程序结合，这些程序可以在更新的、锁定安全的系统上 hook 敏感路径，而无需传统的 LKM。VoidLink 再次根据其运行的环境来处理 rootkit 部署，并相应选择合适的 rootkit。根据内核版本和支持的功能，将选择以下 rootkit：

• • LD_PRELOAD：当 "kernel" 标志被禁用，或内核版本 < 4.0 时
• • eBPF：适用于内核版本 ≥ 5.5 且支持 eBPF 的情况
• • LKM：内核版本 ≥ 4.0 时

利用这些 rootkits，植入程序可以有选择地隐藏其进程、文件和网络套接字，同时也能隐藏 rootkit 模块本身。

3.5 命令与控制

在网络层面，VoidLink 试图使外发的网络连接看起来合法；多个模块负责隐藏流量。其中有一层负责 HTTP 伪装，旨在使请求看起来像正常请求。

请求以及外泄的文件可以通过多种方式隐藏，包括使用类似 PNG 的二进制块、标准网站内容或模拟 API 流量。VoidLink 支持多种传输协议：HTTP/1.1、HTTP/2、WebSocket、DNS 和 ICMP。所有协议都通过开发者称为 VoidStream 的协议进行管理。VoidStream 为上述所有协议处理加密和消息解析。

虽然未完全实现，但分析的样本中还包含了网状 C2 的方法——这是一种点对点的网络方法，受感染的机器形成一个网状网络，在彼此之间路由数据包，无需外部互联网访问。

3.6 反分析

VoidLink 部署了多种反分析机制。除了反调试技术外，VoidLink 还能检测各种调试器和监控工具。VoidLink 还会执行运行时完整性检查，以识别潜在的hook和补丁。此外，一种自修改代码（self-modifying code）选项会在运行时解密受保护的代码区域，并在不使用时对其进行加密，从而规避运行时内存扫描器。如果 VoidLink 检测到任何类型的篡改，它会删除自身。

反取证（Anti-forensic）模块确保 VoidLink 留下的任何痕迹也被删除。该恶意软件会清理命令历史、登录记录、系统日志和丢弃的文件，同时确保文件不仅从文件系统中解除链接，还用随机数据覆盖，以防止取证恢复。

四、插件系统

VoidLink 的插件系统有效扩展了其框架，使其从一个植入程序演变为一个功能完备的漏洞后利用（post-exploitation）框架。同样类似于 Cobalt Strike 及其信标对象文件（BOF，Beacon Object Files），插件以 (ELF) 目标文件的形式提供，在运行时加载并在内存中执行。

默认可用的插件涵盖以下类别：

这些插件共同构建在一个已经相当复杂的核心实现之上，将 VoidLink 的能力从云环境扩展到与这些云环境直接交互的开发者和管理员工作站，将任何受感染的机器转变为获取更深层次访问或进行供应链攻击的灵活跳板。附录列出了我们分析的所有插件，并附有简要说明。

五、结论

VoidLink 是一个快速发展的 Linux 命令与控制框架，专为现代云环境定制，并侧重于隐秘性。其庞大的功能数量与模块化架构表明，作者旨在创建一个复杂、现代且功能丰富的框架。VoidLink 力求尽可能自动化规避检测，通过分析环境并选择最合适的操作策略。内核模式战术技巧和庞大的插件生态系统进一步增强了其能力，使操作者能够以自适应隐身的方式在云环境和容器生态系统中活动。

虽然恶意软件领域的大部分目标仍是 Windows 平台，但 Linux 平台常常被恶意软件开发者和防御者所忽视。这个专门针对 Linux 平台，尤其是云环境开发的框架表明，这些平台已成为威胁行为者有效的攻击目标。

尽管尚不清楚该框架是打算作为合法的渗透测试工具出售，还是作为地下犯罪工具，或是作为面向单一客户的专属产品，防御者都应主动加固其 Linux、云和容器环境，并准备好防御像 VoidLink 这样的高级威胁。

六、防护措施

Check Point 威胁仿真和 Harmony Endpoint 提供对攻击战术、文件类型和操作系统的全面覆盖，并能够防护本报告中描述的攻击和威胁。

七、入侵指标 IoC

附录

引用链接

[1] 《Unveiling VoidLink – A Stealthy, Cloud-Native Linux Malware Framework》: https://research.checkpoint.com/2026/voidlink-the-cloud-native-malware-framework/