Se han detectado puertas traseras de Linux que atacan equipos de red y telecomunicaciones en Corea del Sur y Taiwán, camuflándose como procesos legítimos y servicios de seguridad de correo electrónico. El malware, vinculado a grupos chinos como Red Menshen, utiliza variantes de BPFDoor y un implante llamado AVERAT para evadir la detección y exfiltrar datos. Estas amenazas aprovechan protocolos como SMTP y HTTPS para ocultar su tráfico y mantener el acceso persistente a los sistemas afectados.

Puertas traseras de Linux dirigidas a telecomunicaciones y dispositivos de red en Corea del Sur y Taiwán han estado disfrazando su tráfico como servicios de correo electrónico y procesos aparentemente legítimos para mezclarse y evadir la detección.

Se sabe que los actores de amenazas nombran su software malicioso como un componente legítimo del sistema operativo o un proceso como medida de evasión de defensa. Al tomar prestado el nombre de un binario real, puede parecer menos visible entre otros procesos de Windows, otorgarle una falsa sensación de confianza o ser pasado por alto por un analista durante una inspección casual.

Sin embargo, se ha descubierto que las puertas traseras examinadas por Rapid7 van más allá de imitar nombres de archivos, asumiendo las identidades de productos de seguridad de correo electrónico como SpamSniper y ShareTech, que son ampliamente utilizados en entornos empresariales en Corea del Sur y Taiwán.

Según el proveedor Jiran Group, SpamSniper se promociona como "la solución de seguridad de correo electrónico líder en Corea" que defiende a las organizaciones contra el spam, el malware y los ataques al servidor.

Los artefactos maliciosos incluyen una nueva variante de BPFDoor y una compilación de BPF Rekoobe utilizada contra objetivos surcoreanos, y un implante de Linux previamente no reportado llamado AVERAT que se entrega a través de un dropper y se despliega contra dispositivos taiwaneses.

"Las variantes de BPFDoor vistas contra los sistemas surcoreanos suplantan el archivo PID de SpamSniper, un producto antispam coreano, y rotan a través de diez nombres de demonios de Linux", dijo Rapid7. "En todas las muestras, cada componente adopta nombres y convenciones diseñadas para parecer insignificantes en el entorno al que se dirigen".

Análisis de bpfdoor y sus variantes

BPFdoor y sus muchas iteraciones fueron objeto de un análisis exhaustivo por parte de Rapid7 a principios de este año, vinculando la actividad a un grupo de amenazas llamado Red Menshen (también conocido como Earth Bluecrow, DecisiveArchitect y Red Dev 18), que ha atacado a proveedores de telecomunicaciones en Oriente Medio y Asia desde 2021.

A un nivel general, BPFDoor abusa de la funcionalidad del Filtro de Paquetes de Berkeley (BPF) para inspeccionar el tráfico de red entrante y activar su comportamiento solo al detectar un paquete mágico. La detección de una nueva versión de BPFDoor indica que los actores de amenazas detrás del malware están refinando y reequpando activamente su arsenal en respuesta a las divulgaciones públicas.

"Una vez que los proveedores de seguridad escribieron firmas de red estáticas (Suricata/Snort) para detectar estas anomalías de Capa 4, los operadores comenzaron a atacar los proxies perimetrales", dijo Rapid7. "Al envolver el paquete mágico en solicitudes HTTPS POST estándar y confiar en la descarga de SSL común en entornos de telecomunicaciones, el activador puede entregarse al nodo infectado por BPFDoor de una manera que puede evadir la inspección profunda de paquetes convencional".

Mientras que algunas muestras de BPFDoor suplantan a SpamSniper, otro artefacto establece su nombre de proceso como "ora_ppmond", imitando la convención de nomenclatura asociada con las plataformas de aprovisionamiento y suscriptores de telecomunicaciones respaldadas por Oracle. Específicamente, el nombre parece ser una referencia a "ora_pmon_*", que representa el proceso de fondo del Monitor de Procesos (PMON) de una instancia de Base de Datos Oracle.



Una vez activado, la muestra de BPFDoor lanza una sesión de TinyShell y admite comandos para facilitar capacidades de shell interactiva, carga y descarga. Curiosamente, el uso de TinyShell ha sido atribuido previamente a grupos vinculados a China como Liminal Panda, UNC3886 (también conocido como Fire Ant) y Velvet Ant, todos los cuales han señalado redes de telecomunicaciones y dispositivos perimetrales como estos.

"Estas muestras muestran que BPFDoor opera como un marco modular que se adapta a la capa de telecomunicaciones que ataca, integrando la lógica de TinyShell y Rekoobe para admitir la exfiltración", explicó Rapid7.

También se observó en conjunto con la actividad una puerta trasera BPF basada en Rekoobe detectada recientemente que intercepta el tráfico IPv4 TCP/UDP/SCTP y UDP IPv6 con puertos de origen y destino iguales a 25. Además, nombra sus procesos basándose en componentes de SpamSniper.

El dropper observado en una campaña superpuesta es un binario ELF que actúa como un instalador local para AVERAT, un implante modular que utiliza el Protocolo Simple de Transferencia de Correo (SMTP) para el comando y control (C2) y para ocultar su actividad maliciosa.

Ubicado dentro del directorio de paquetes complementarios "/addpkg/sbin/" del dispositivo ShareTech, el dropper ELF funciona derivando su clave de cifrado de la cadena "ShareTech" y luego usándola para descifrar un script de shell que es responsable de preparar y ejecutar dos binarios: "ntpdate", que es el propio dropper, y "udevds", que es la carga útil de AVERAT. Los dos archivos se eliminan 10 segundos después.

AVERAT consulta periódicamente un servidor C2 ("mx.zxopfds[.]com") a través del puerto TCP 25 cada 600 a 699 segundos. Los detalles del servidor y el intervalo de señalización se extraen de una configuración cifrada. La puerta trasera admite una larga lista de códigos de comando que incluyen:

* 20, para enumerar el contenido del directorio
* 21, para descargar un archivo del host, con soporte de reanudación
* 22, para cargar un archivo al host en fragmentos
* 25, para eliminar recursivamente un archivo o árbol de directorios
* 30, para recorrer recursivamente un árbol de directorios
* 629, para enumerar los procesos en ejecución con líneas de comandos
* 632, para terminar un proceso (SIGTERM)
* 842, para sobrescribir las tablas de host y puerto C2 en tiempo de ejecución
* 912, para abrir una sesión de shell interactiva y hasta 10 sesiones concurrentes
* 914, para escribir un comando en una sesión de shell abierta
* 916, para reiniciar el dispositivo
* 1010, para cargar o descargar un módulo de objeto compartido (*.so), extendiendo la funcionalidad del implante
* 1576, para establecer el intervalo de retorno y persistirlo en la base de datos
* 1618, para abrir un proxy o un canal de redireccionamiento de puertos a través del dispositivo
* desconocido, para cerrar el socket y terminar el proceso inmediatamente

La infraestructura C2 de AVERAT, según Rapid7, coincide con el perfil de clase de dispositivo típicamente asociado con una red de Operational Relay Box (ORB), aunque no hay evidencia de que forme parte de ninguna ORB conocida como LapDogs (aka UAT-7810), SPACEHOP y FLORAHOX.

Defensa de la red

Se recomienda a las organizaciones revisar los sockets de paquetes raw inesperados y los filtros BPF en sistemas Linux que no requieran captura de paquetes, auditar las conexiones salientes del puerto TCP 25 desde procesos que no sean servicios de correo, escanear en busca de procesos que se hagan pasar por demonios comunes y restringir el acceso de gestión a routers, DVRs y otros dispositivos perimetrales.

Los hallazgos demuestran cómo los actores de amenazas están aprovechando la posición privilegiada que ocupan las puertas de enlace de correo electrónico seguro (SEG) para la recopilación de inteligencia. En 2023, un actor de amenazas vinculado a China con el nombre en clave UNC4841 fue observado explotando dos vulnerabilidades diferentes en los dispositivos Barracuda Email Security Gateway (ESG) para entregar puertas traseras persistentes.

"El hilo común es el disfraz regionalizado: cada muestra es consciente del software del proveedor que se ejecuta en los sistemas objetivo e implementa la suplantación de procesos en consecuencia", dijo la empresa de ciberseguridad. "Los implantes BPF pasivos evitan los escaneos de puertos convencionales; mientras que las señales salientes se ocultan dentro del tráfico ordinario de DNS y TCP, los actores de amenazas están aprovechando SMTP para pasar desapercibidos".

Fuente:
THN