Linux backdoor giả mạo công cụ email để né phát hiện tại Hàn Quốc và Đài Loan
"Rapid7 reported Linux backdoors targeting telecom and network appliances in South Korea and Taiwan that impersonate legitimate email security tools and daemon names to evade detection. The activity includes new BPFDoor and Rekoobe variants plus a previously unreported implant, AVERAT, which uses SMTP-based C2, encrypted configuration, and modular commands for file operations, process control, shell access, and proxying; no CVE was cited, and mitigation centers on detection of the disguised traffic and malicious binaries."
Đe dọa mức cao với thiết bị biên và hệ thống Linux trong môi trường viễn thông/doanh nghiệp; kỹ thuật ngụy trang tiến trình và C2 qua SMTP/HTTPS làm tăng khả năng né phát hiện.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và ảnh hưởng đến hạ tầng mạng lõi; tổ chức dùng appliance email/security hoặc thiết bị viễn thông cần ưu tiên kiểm tra và cô lập sớm.
Rapid7 ghi nhận các Linux backdoor nhắm vào thiết bị viễn thông và appliance mạng tại Hàn Quốc và Đài Loan, trong đó lưu lượng độc hại được ngụy trang thành dịch vụ email và tên tiến trình hợp lệ để tránh bị phát hiện. Nhóm tấn công không chỉ giả mạo tên tệp mà còn mượn danh các sản phẩm như SpamSniper và ShareTech, vốn phổ biến trong môi trường doanh nghiệp tại hai thị trường này.
Hoạt động gồm một biến thể BPFDoor mới, một bản dựng BPF Rekoobe, và một implant Linux chưa từng được công bố trước đó là AVERAT. BPFDoor lợi dụng Berkeley Packet Filter (BPF) để chỉ kích hoạt khi nhận magic packet; các mẫu mới còn bọc tín hiệu kích hoạt trong HTTPS POST nhằm giảm khả năng bị deep packet inspection phát hiện. Khi được kích hoạt, backdoor có thể mở TinyShell, hỗ trợ upload/download, interactive shell và các thao tác điều khiển tiến trình.
AVERAT dùng SMTP làm kênh C2, có cấu hình mã hóa và bộ lệnh mô-đun cho duyệt thư mục, sao chép tệp, xóa đệ quy, liệt kê tiến trình, mở proxy/port-forward, và nạp hoặc gỡ shared object (.so). Khuyến nghị ưu tiên phát hiện binary giả mạo, giám sát lưu lượng TCP/25, rà soát tiến trình và tên dịch vụ bất thường, đồng thời tăng cường kiểm tra tại lớp biên mạng và appliance.