Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan
The Hacker News · 6 oct, 20:24
Actores de amenaza están desplegando variantes de BPFDoor y un nuevo implante Linux llamado AVERAT contra operadores de telecomunicaciones e infraestructuras de red en Corea del Sur y Taiwán. El malware se disfraza de herramientas de seguridad de correo electrónico como SpamSniper y ShareTech para evadir la detección, aprovechando el filtro de paquetes de Berkeley (BPF) y técnicas sofisticadas para activarse solo al recibir paquetes mágicos.
Las variantes de BPFDoor estudiadas por Rapid7 adoptan nombres de procesos legítimos de sistemas de seguridad de correo electrónico ampliamente utilizados en Asia Oriental, particularmente SpamSniper descrito como «la solución de seguridad de correo electrónico líder de Corea». El malware abusa de la funcionalidad BPF para inspeccionar tráfico de red e inspeccionar comportamiento solo al detectar paquetes mágicos. Los operadores han evolucionado la técnica envolviéndolos en solicitudes HTTPS POST estándar y aprovechando SSL offloading común en entornos de telecomunicaciones para eludir inspección profunda de paquetes tradicional.
AVERAT es un implante modular descubierto en campañas superpuestas que utiliza SMTP para comunicaciones de control y comando (C2) y ofuscación. Instalado mediante un dropper ELF que se coloca en directorios de paquetes add-on de ShareTech, el implante soporta decenas de códigos de comando incluyendo acceso a shell interactivo, carga y descarga de archivos, enumeración de procesos, terminación de procesos y apertura de canales de proxy. El grupo de amenazas Red Menshen (también conocido como Earth Bluecrow) está activo desde 2021 y ha dirigido sistemáticamente proveedores de telecomunicaciones en Oriente Medio y Asia, refinando continuamente su arsenal en respuesta a divulgaciones públicas.
Puntos clave
- BPFDoor y AVERAT se disfrazan de productos de seguridad de correo electrónico legítimos (SpamSniper, ShareTech) para evadir detección
- El malware utiliza filtro de paquetes de Berkeley (BPF) y paquetes mágicos encapsulados en HTTPS POST para eludir inspección profunda de paquetes
- AVERAT utiliza puerto TCP 25 (SMTP) para comunicaciones C2 con servidor mx.zxopfds[.]com y soporta shell interactivo, carga/descarga de archivos y proxy
- Operadores vinculados a Red Menshen (aka Earth Bluecrow) activos desde 2021 contra telecomunicaciones en Oriente Medio y Asia
- Monitorizar sockets de paquetes raw no autorizados, BPF filters y conexiones TCP puerto 25 salientes en sistemas Linux de infraestructura crítica
Figuras de la fuente
