گزارش‌های جدید نشان می‌دهد توسعه‌دهندگان بدافزار با بهره‌گیری از دانش عمیق در مورد تجهیزات لبه شبکه (Edge Appliances) در کره جنوبی و تایوان، ایمپلنت‌های لینوکسی پیشرفته‌ای ساخته‌اند که با دقت بسیار زیاد، خود را به جای این تجهیزات جا می‌زنند.
استراتژی تقلید پیشرفته
برخلاف بدافزارهای معمولی که تنها نام خود را تغییر می‌دهند، این Backdoorهای جدید با تقلید از نام فایل‌ها، ترافیک مجاز در Firewall و رفتارهای عملیاتی خاص تجهیزات امنیتی ایمیل، تلاش می‌کنند از دید سیستم‌های نظارتی پنهان بمانند. تحقیقات نشان می‌دهد که این حملات در قالب دو کمپین مجزا اما هم‌پوشان صورت گرفته است: یکی بر پایه نسخه‌های جدید BPFdoor و Rekoobe، و دیگری حول محور ابزار جدیدی به نام AVERAT.
تحلیل ابزارهای مورد استفاده
- BPFdoor: این Backdoor بسیار مخفی‌کار است و منتظر کد فعال‌سازی در بایت‌های خاص درخواست‌های HTTPS می‌ماند. نسخه‌های جدید آن خود را به جای نرم‌افزار ضداسپم SpamSniper (محصولی کره‌ای) یا فرآیندهای پس‌زمینه پلتفرم‌های مخابراتی Oracle جا می‌زنند.
- Rekoobe: این RAT قدیمی نیز در کمپین‌های اخیر از SpamSniper تقلید کرده و با کپی کردن PID فایل‌ها و سرویس‌های سیستمی لینوکس، سعی در استتار دارد.
- AVERAT: یک RAT ماژولار که از پورت 25 (SMTP) برای ارتباطات Command-and-Control (C2) استفاده می‌کند تا ترافیک خود را با جریان عادی ایمیل‌های سازمانی ترکیب کند.
چالش‌های شناسایی و تحلیل
تجهیزات Secure Email Gateways (SEGs) به دلیل قرار داشتن در لبه شبکه و اعتماد بالای Firewall به آن‌ها، جایگاه استراتژیکی برای دسترسی بلندمدت فراهم می‌کنند. از آنجایی که این تجهیزات معمولاً Closed-box هستند و امکان نصب EDR یا Agentهای نظارتی روی آن‌ها وجود ندارد، شناسایی ایمپلنت‌ها دشوارتر می‌شود.
علاوه بر این، استفاده از Relay Pointهایی مانند DVRها و NASهای هک شده برای مخفی کردن سرورهای C2، ردیابی عامل تهدید را با پیچیدگی بیشتری همراه کرده است.
توصیه‌های فنی برای SOC و تیم‌های دفاعی
برای شناسایی این ایمپلنت‌های بسیار مخفی، متخصصان امنیت توصیه می‌کنند موارد زیر را بررسی کنند:
- جستجوی فرآیندهایی (Processes) که فایل اجرایی آن‌ها حذف شده است (نمایش پسوند (deleted) در مسیر
/proc). - بررسی Raw Packet Sockets غیرمنتظره در سیستم‌های لینوکسی.
- مانیتورینگ ترافیک خروجی پورت 25 برای تمامی تجهیزاتی که سرویس ایمیل رسمی نیستند.
- محدود کردن دسترسی‌های مدیریتی به تجهیزات لبه شبکه.
