Check Point Research ha scoperto nel dicembre 2025 VoidLink, un framework malware cloud-native per Linux che automatizza il rilevamento dell'ambiente e l'adattamento tattico con una precisione finora osservata solo nei tool da red team commerciali. Il codice core è scritto in Zig, con componenti Go e C, e si presenta con un'architettura modulare da oltre 30 plugin ispirata ai Beacon Object Files (BOF) di Cobalt Strike. Per le aziende che gestiscono infrastrutture cloud, il segnale è netto: le difese tradizionali orientate a Windows non coprono più il perimetro effettivo del rischio.
- Il framework conta oltre 30 plugin di default e rileva automaticamente cinque ambienti cloud: AWS, GCP, Azure, Alibaba Cloud e Tencent Cloud.
- Implementa tre meccanismi di rootkit — LD_PRELOAD, LKM e eBPF — con selezione automatica in base alla versione kernel del bersaglio.
- Il C2 compila moduli eBPF on-demand per versioni kernel specifiche, rendendo ogni infezione tecnicamente su misura.
- Il delivery avviene in tre stadi fileless tramite memfd_create ed execveat, senza lasciare tracce su disco nei primi due stadi.
Da Cobalt Strike al cloud: l'architettura plugin di VoidLink
VoidLink adotta un modello architetturale che Check Point Research descrive come "estremamente flessibile e altamente modulare", con una Plugin API che riprende l'approccio BOF di Cobalt Strike. Le fonti indicano tra 35 e 37 plugin disponibili, oltre i 30 citati da Check Point nel report principale. Ogni modulo si carica dinamicamente, permettendo al framework di assumere profili d'esecuzione diversi senza ridistribuire il binario principale.
La scelta di Zig come linguaggio core non è casuale: la sintesi di performance vicina al C con costrutti moderni e cross-compilation semplificata si adatta alla varietà di architetture Linux su cui il malware deve operare. La presenza di componenti Go e C conferma una logica di sviluppo by-component, dove ogni linguaggio copre il proprio dominio ottimale.
"VoidLink's architecture is extremely flexible and highly modular, centered around a custom Plugin API that appears to be inspired by Cobalt Strike's Beacon Object Files (BOF) approach"
— Check Point Research, via The Hacker News
Rilevamento ambientale e adattamento per container
VoidLink non si limita a funzionare nei cloud: li identifica attivamente. Il framework interroga endpoint metadata specifici per ciascuno dei cinque provider documentati — AWS, GCP, Azure, Alibaba Cloud, Tencent Cloud — e calibra il proprio comportamento di conseguenza. La fonte riporta anche un adattamento esplicito per ambienti Docker e Kubernetes, con logiche che tengono conto della topologia containerizzata.
Il meccanismo di "risk score" ambientale rappresenta il punto di convergenza tra rilevamento e evasione. Il malware profila il contesto di esecuzione — presenza di agenti di sicurezza, configurazione di rete, risorse disponibili — e seleziona la strategia più appropriata. Sysdig, citato da The Hacker News, sottolinea che VoidLink "non si limita a eludere i prodotti CDR, EDR e XDR, ma li profila a livello di processo o percorso e adatta il proprio comportamento di conseguenza". Questo rende inefficaci le regole statiche di rilevamento: la firma cambia in risposta alla difesa osservata.
Rootkit multipli e compilazione eBPF on-demand dal C2
Il framework implementa tre tecniche di occultamento, selezionate automaticamente in base alla versione kernel: LD_PRELOAD per kernel precedenti al 4.0, Loadable Kernel Module per versioni 4.x-5.4, e eBPF per kernel 5.5 e successivi. La novità tecnica rilevante sta nella compilazione on-demand: il server di comando e controllo genera moduli kernel specifici per la versione esatta del bersaglio, poi li distribuisce tramite il componente ss_loader.
Questo modello elimina una delle tradizionali limitazioni dei rootkit eBPF: la necessità di precompilare per un range di target. Con VoidLink, ogni modulo è tecnicamente fresco e specifico, riducendo la visibilità da parte degli strumenti di detection basati su firme di bytecode noto. La fonte documenta inoltre meccanismi di self-destruction e crittografia runtime esplicitamente progettati per ostacolare l'analisi post-mortem.
Canali C2, delivery fileless e segni di AI
L'infrastruttura di comando e controllo supporta sei canali documentati: HTTP/HTTPS, HTTP/2, WebSocket, DNS tunneling, ICMP con magic ID 0xC0DE, e P2P mesh. La dashboard di gestione è web-based e localizzata in cinese, elemento che concorre all'attribuzione generica a threat actor cinesi documentata da tutte le fonti primarie.
Il delivery segue una catena a tre stadi: uno stage 0 in Zig che usa memfd_create per creare un file descriptor in memoria, uno stage 1 intermedio, e infine il core implant. Il meccanismo fileless dei primi due stadi elimina la persistenza su disco durante la fase iniziale, quando il malware è più vulnerabile al rilevamento.
Sul fronte dello sviluppo, le fonti riportano segni di assistenza da sistemi di intelligenza artificiale. La documentazione interna mostra pattern attribuibili a large language model, con uso documentato di Trae Solo — assistente AI dell'IDE Trae — per la produzione di materiale in cinese. Check Point Research afferma che "l'atteso era di malware sofisticato generato da AI è probabilmente iniziato", sebbene il dossier non verifichi che il codice core sia stato effettivamente prodotto da AI: le evidenze riguardano la documentazione e pattern stilistici, non la generazione del binario.
Perche e importante
Il dossier presenta limiti significativi che incidono sulla valutazione del rischio immediato. La fonte aggregata voidlink.cloud nota esplicitamente l'assenza di infezioni real-world confermate al gennaio 2026, con il malware apparentemente ancora in fase di sviluppo attivo. Non è chiaro se il framework sia già stato impiegato in operazioni concrete o rimanga un artefatto di laboratorio.
Il vettore di initial access preferenziale non è documentato. L'attribuzione a threat actor cinesi resta generica: nessuna fonte collega VoidLink a un gruppo APT specifico nominato, né verifica indipendentemente l'infrastruttura associata. Il ruolo esatto dell'AI nel processo di sviluppo rimane parzialmente oscuro, con le prove concentrate sulla documentazione piuttosto che sulla generazione del codice operativo.
Nonostante questi limiti, il dossier documenta un salto qualitativo nella sofisticazione dei framework malware per Linux cloud-native. La convergenza di modularità post-exploitation, adattamento ambientale automatizzato e rootkit eBPF compilati su misura rappresenta un livello di ingegneria che finora si era visto solo negli strumenti di actor sponsorizzati statali o nei framework commerciali da red team. Per le organizzazioni, il segnale è che il perimetro di attenzione deve spostarsi dal endpoint Windows-centrico al runtime dei container, agli audit di Kubernetes e al monitoraggio delle chiamate ai metadata service cloud.
Il brief non specifica misure correttive o contromisure documentate dalla fonte primaria. Check Point Research e Sysdig hanno pubblicato indicatori di compromesso e pattern di rilevamento, ma il dossier non include raccomandazioni operative strutturate da parte del vendor.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- https://research.splunk.com/stories/voidlink_cloud-native_linux_malware/
- https://voidlink.cloud/
- https://thehackernews.com/2026/01/new-advanced-linux-voidlink-malware.html
- https://blogs.cisco.com/?p
- https://thehackernews.com/2023/03/cryptojacking-group-teamtnt-suspected.html
- https://thehackernews.com/2025/10/linkpro-linux-rootkit-uses-ebpf-to-hide.html
- https://thehackernews.uk/threatlocker-d
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.