کشف بک‌دورهای مخفی در لینوکس؛ هدف قرار دادن زیرساخت‌های مخابراتی با جعل ترافیک ایمیل

گزارش‌های جدید حاکی از شناسایی بک‌دورهای (Backdoor) پیشرفته‌ای در محیط لینوکس است که تجهیزات مخابراتی و گیت‌وی‌های لبه شبکه (Network-edge appliances) را در کره جنوبی و تایوان هدف قرار داده‌اند. این بدافزارها برای پنهان ماندن در شبکه، ترافیک خود را به شکل ترافیک ایمیل و فرآیندهای خود را به صورت سرویس‌های قانونی سیستم جعل می‌کنند.

تحلیل بدافزار AVERAT و تکنیک‌های استتار

طبق یافته‌های منتشر شده، بدافزاری به نام AVERAT از پورت ۲۵ پروتکل TCP استفاده کرده و با بهره‌گیری از پروتکل SMTP، دستورات EHLO و درخواست STARTTLS را ارسال می‌کند تا یک نشست رمزنگاری شده ایجاد کند. از آنجایی که در گیت‌وی‌های امنیتی ایمیل، خروج ترافیک از پورت ۲۵ یک عملیات عادی است، این ترافیک در سوابق جریان (Flow records) کاملاً مشابه فعالیت‌های قانونی به نظر می‌رسد.

• بازه زمانی ارتباط: این ایمپلنت هر ۶۰۰ تا ۶۹۹ ثانیه با سرور فرماندهی ارتباط برقرار می‌کند.
• قابلیت‌ها: انتقال فایل، متوقف کردن فرآیندها، ایجاد تا ۱۰ نشست Shell همزمان و ایجاد کانال‌های Proxy یا Port-forwarding.

استفاده از BPFDoor و BPF Rekoobe

نمونه‌های BPF Rekoobe ترافیکی را رصد می‌کنند که در آن هر دو پورت مبدأ و مقصد ۲۵ باشند. این بدافزار برای گمراه کردن تحلیل‌گران، نام فرآیندهای خود را مشابه اجزای محصول ضداسپام SpamSniper قرار می‌دهد. همچنین گونه‌های جدید BPFDoor مشاهده شده‌اند که برخی از آن‌ها خود را به جای سرویس‌های پلتفرم‌های مشترک مخابراتی Oracle معرفی می‌کنند.

علاوه بر این، یک کنترل‌کننده BPFDoor شناسایی شده است که تریگرهای خود را در درخواست‌های HTTPS POST قرار می‌دهد تا بتواند از پروکسی‌های لبه شبکه عبور کرده و از سیستم‌های بازرسی عمیق بسته‌ها (Deep-Packet Inspection)e evaded شود.

شبکه‌های رله عملیاتی (ORB) و ارتباط با چین

برخی از نسخه‌های AVERAT به آدرس‌های سخت‌افزاری (Hardcoded) در دستگاه‌های ثالث آلوده در تایوان متصل می‌شوند، از جمله یک Synology NAS و یک دستگاه ضبط ویدئویی Dahua. تمامی این دستگاه‌ها یک سرویس PPTP VPN یکسان را اجرا می‌کردند که احتمالاً توسط مهاجمان برای ایجاد مسیری به شبکه قربانی نصب شده بود.

این ساختار با پروفایل دستگاه‌های ذکر شده در توصیه‌نامه‌های CISA در مورد شبکه‌های مخفی مرتبط با چین (China-nexus covert networks) یا همان شبکه‌های ORB مطابقت دارد، هرچند انتساب دقیق به یک گروه خاص هنوز در حال بررسی است.

توصیه‌های امنیتی برای مدیران SOC

برای شناسایی و مقابله با این تهدیدات، موارد زیر توصیه می‌شود:

• بررسی Socketهای غیرمنتظره در سطح Raw Packet و فیلترهای BPF.
• مانیتورینگ اتصالات خروجی روی پورت ۲۵ توسط فرآیندهایی که سرویس ایمیل نیستند.
• شناسایی فرآیندهایی که نام آن‌ها مشابه Daemonهای رایج سیستم است اما رفتار مشکوکی دارند.
• محدود کردن دسترسی‌های مدیریتی به روترها، DVRها و سایر تجهیزات لبه شبکه.