گزارش‌های جدید حاکی از شناسایی بک‌دورهای (Backdoors) پیچیده‌ای در محیط لینوکس است که تجهیزات مخابراتی و دستگاه‌های لبه شبکه (Network-edge appliances) در کره جنوبی و تایوان را هدف قرار داده‌اند. این بدافزارها از تاکتیک‌های پیشرفته‌ای برای فرار از سیستم‌های شناسایی استفاده می‌کنند که شامل استتار ترافیک مخرب در قالب پروتکل‌های ایمیل و تغییر نام فرآیندها به سرویس‌های قانونی سیستم است.
تحلیل فنی بدافزارهای شناسایی شده
کارشناسان Rapid7 گونه‌های جدیدی از بدافزار BPFDoor و نسخه‌ای از BPF Rekoobe را شناسایی کرده‌اند که سازمان‌های کره‌ای را هدف قرار داده‌اند. همچنین یک Dropper و شش نسخه از یک Implant به نام AVERAT در تجهیزات تایوانی مشاهده شده است.
- بدافزار AVERAT: این بدافزار برای ارتباطات خود از پورت 25 پروتکل TCP و پروتکل SMTP استفاده می‌کند. این استراتژی باعث می‌شود ترافیک خروجی آن از دید درگاه‌های امنیتی ایمیل (Mail Security Gateways)، کاملاً مشابه ترافیک قانونی ایمیل به نظر برسد.
- قابلیت‌ها: این بدافزار قادر است انتقال فایل را انجام دهد، فرآیندها را متوقف کند، تا ده نشست Shell همزمان ایجاد نماید و کانال‌های Proxy یا Port-forwarding بسازد.
- تکنیک‌های استتار: نمونه‌های BPF Rekoobe و BPFDoor با جعل نام محصول ضداسپام SpamSniper یا فرآیندهای پلتفرم‌های مخابراتی مبتنی بر Oracle، خود را در سیستم مخفی می‌کنند.
دامنه اثر و زیرساخت‌ها
دستگاه‌های آسیب‌دیده شامل Synology NAS، تجهیزات شبکه کسب‌وکارهای کوچک و ضبط‌کننده‌های ویدئویی Dahua هستند. این دستگاه‌ها پس از آلودگی به عنوان Relay استفاده شده و احتمالاً بخشی از شبکه‌های ORB (Operational Relay Box) برای حملات گسترده‌تر تشکیل می‌دهند.
توصیه‌های امنیتی برای مدیران SOC
برای شناسایی و مقابله با این تهدیدات، موارد زیر توصیه می‌شود:
- بررسی Socketهای غیرمعمول در سطح Packet.
- مانیتورینگ اتصالات خروجی روی پورت 25 در سرویس‌هایی که ماهیت ایمیل ندارند.
- تحلیل فرآیندهایی که خود را به عنوان Daemonهای سیستمی معرفی می‌کنند اما رفتار مشکوکی دارند.
- محدود کردن دسترسی‌های مدیریتی به تجهیزات لبه شبکه.
