Rapid7: linuksowe backdoory BPFdoor, Rekoobe i AVERAT udają azjatyckie bramki pocztowe

Rapid7 opisał trzy linuksowe backdoory: BPFdoor, Rekoobe i AVERAT. Infekują one koreańskie i tajwańskie urządzenia brzegowe do ochrony poczty i naśladują ich nazwy plików, ruch dopuszczany przez zaporę oraz sposób działania. W doniesieniu nie ma informacji o poprawce. Badacze wskazują dwie częściowo powiązane kampanie. Pierwsza obejmuje nowe warianty BPFdoor oraz nową wersję starego trojana zdalnego dostępu Rekoobe, przerobioną na wzór BPFdoor. Druga opiera się na nowym narzędziu AVERAT. W maju Rapid7 opisał techniki BPFdoor: implant czekał uśpiony na kod aktywacyjny ukryty w określonym bajcie zwykłych żądań HTTPS, a dane przekazywał do wskazanych komputerów wewnątrz organizacji, wstawiając kod do pakietów ICMP, czyli poleceń ping.

Kogo dotyczy

Organizacje, które korzystają z popularnych w Azji urządzeń do ochrony poczty od producentów z Korei i Tajwanu, działających na Linuksie. W doniesieniu nie podano nazw producentów ani modeli urządzeń.