Оказывается, что в Linux есть механизм асинхронного ввода-вывода в обход традиционных системных вызовов. Он может быть использован для создания руткитов, которые не видны для многих инструментов мониторинга, например Falco или Microsoft Defender.

io_uring позволяет пользователю отправлять запросы, которые обрабатываются ядром ассинхронно и не блокируют вызывающий процесс. Этот же механизм позволяет руткитам прятаться от мониторинга. Эксперты Red Team могут изучить PoC, который полностью работает через io_uring и не использует системные вызовы. Для выявления угроз разработчикам EDR и экспертам Blue Team рекомендуется использовать Kernel Runtime Security Instrumentation и другие дополнительные точки мониторинга.