Backdoory na Linuksa udają SpamSniper i ShareTech w atakach w Korei i na Tajwanie

Rapid7 opisał backdoory na Linuksa, które w Korei Południowej i na Tajwanie podszywają się pod programy do ochrony poczty SpamSniper i ShareTech. Celem są operatorzy telekomunikacyjni i urządzenia sieciowe.

Nie chodzi tylko o nazwy plików podobne do systemowych. Ruch tych programów udaje usługi pocztowe, a ich procesy wyglądają na legalne. Wśród próbek jest nowy wariant BPFDoor i wersja Rekoobe, użyte przeciw celom w Korei Południowej. Jest też AVERAT, implant dotąd nieopisany, instalowany przez dropper. Według Rapid7 warianty BPFDoor podszywają się pod plik PID programu SpamSniper i zmieniają nazwę procesu, korzystając z listy dziesięciu nazw demonów Linuksa. BPFDoor łączy się z grupą Red Menshen, która od 2021 roku atakuje operatorów telekomunikacyjnych na Bliskim Wschodzie i w Azji.

Kogo dotyczy

W materiale celami są operatorzy telekomunikacyjni i urządzenia sieciowe w Korei Południowej i na Tajwanie. Backdoory podszywają się pod SpamSniper firmy Jiran Group i pod ShareTech, czyli produkty popularne w firmach w obu krajach. Materiał nie wymienia celów w Polsce.