Linux-бэкдоры маскируются под почтовую защиту, чтобы прятаться в сетях Кореи и Тайваня

Компания Rapid7 проанализировала группу Linux-бэкдоров, нацеленных на телеком-операторов и сетевое оборудование в Южной Корее и на Тайване. Их объединяет общий приём — «регионализированная маскировка»: каждый образец знает, какое программное обеспечение работает на атакуемой системе, и подстраивает под него имена своих процессов.

Маскировка под легитимные бинарники — известный способ ухода от обнаружения. Но исследованные образцы идут дальше простого заимствования имён файлов: они присваивают себе идентичность популярных в регионе продуктов для защиты почты — SpamSniper и ShareTech. По словам вендора Jiran Group, SpamSniper позиционируется как «ведущее корейское решение по безопасности электронной почты».

Что нашли

Против корейских целей применяются новый вариант BPFDoor и сборка BPF Rekoobe. BPFDoor злоупотребляет механизмом Berkeley Packet Filter: он просматривает входящий трафик и активируется только при получении «магического пакета». Rapid7 связывает это семейство с группировкой Red Menshen (также известной как Earth Bluecrow), атакующей телеком-провайдеров с 2021 года.

Появление нового варианта показывает, что операторы перенастраивают арсенал в ответ на публичные разоблачения. Когда вендоры написали сигнатуры для аномалий на уровне L4, злоумышленники переключились на пограничные прокси: теперь триггер заворачивается в обычный HTTPS POST-запрос, а в телеком-среде, где распространён SSL-offloading, это помогает обойти глубокий анализ пакетов.

Одни образцы BPFDoor имитируют PID-файл SpamSniper и чередуют десять имён Linux-демонов; другой выдаёт свой процесс за ora_ppmond — отсылка к процессу PMON базы данных Oracle. После срабатывания бэкдор запускает сессию TinyShell с поддержкой интерактивной оболочки, загрузки и выгрузки файлов. Rekoobe-вариант перехватывает трафик с портом 25 (TCP/UDP/SCTP) и тоже носит имена компонентов SpamSniper.

AVERAT на Тайване

Против тайваньских устройств развёрнут ранее неизвестный имплант AVERAT. Его доставляет дроппер — ELF-бинарник из каталога дополнений в устройстве ShareTech; ключ шифрования он выводит из строки «ShareTech». AVERAT использует протокол SMTP для связи с управляющим сервером, маскируя активность под почтовый трафик: он опрашивает C2 по TCP-порту 25 каждые 600–699 секунд и поддерживает обширный набор команд — от перечисления каталогов и процессов до перезагрузки устройства, загрузки модулей .so и создания прокси-каналов.

Инфраструктура AVERAT, по профилю, напоминает сеть ретрансляторов (ORB), хотя связей с известными сетями вроде LapDogs не обнаружено.

Рекомендации

Rapid7 советует проверять неожиданные raw-сокеты и BPF-фильтры на системах, где захват пакетов не нужен, отслеживать исходящие соединения на порт 25 от процессов, не относящихся к почте, искать процессы, выдающие себя за системные демоны, и ограничивать доступ к управлению маршрутизаторами, DVR и другим пограничным устройствам. Злоумышленники используют привилегированное положение почтовых шлюзов для сбора разведданных — как уже было в 2023 году с атаками на Barracuda ESG.

Источник: The Hacker News