Linuksowy backdoor BPFDoor czeka na magiczny pakiet i atakuje bramki pocztowe

Linuksowy backdoor BPFDoor atakuje bramki pocztowe, urządzenia VPN i zapory, czyli sprzęt na styku sieci firmowej z internetem. To nie jest luka z poprawką, tylko złośliwe oprogramowanie ukryte w systemie. Program nie wysyła sygnałów i nie otwiera widocznego portu, tylko czeka na specjalny „magiczny pakiet”. Christiaan Beek z Rapid7 mówi w wywiadzie dla Help Net Security, że brak ruchu wychodzącego i brak alertów nie oznaczają czystego systemu. Gdy obrońcy nauczyli się wykrywać jeden sposób wysyłania sygnału, operatorzy znaleźli kolejny. Nowe wersje podszywają się pod koreański program antyspamowy.

Kogo dotyczy

Według Rapid7 celem są urządzenia brzegowe, na których nie da się uruchomić agentów ochrony stacji końcowych: bramki pocztowe, urządzenia VPN i zapory. Komunikują się z internetem, więc złośliwy ruch ginie w zwykłym. Najpoważniejsze skutki opisano dla sieci telekomunikacyjnych, gdzie przejęty dostęp może zagrozić całemu krajowi.