https://www.armosec.io/blog/io_uring-rootkit-bypasses-linux-security/

io_uring Rootkit Bypasses Linux Security Tools - ARMO

ARMOの研究者が、Linuxランタイムセキュリティツールの主要な盲点を明らかにしました。

Falco、Tetragon、Microsoft Defenderを含むほとんどのツールは、syscallモニタリングに依存しているため、io_uringを使用するルートキットを検出できません。

ARMOの概念実証ルートキットであるCuringは、脅威を実証するために完全にio_uringを介して動作します。