针对韩国和台湾电信及网络设备的 Linux 后门已将其流量伪装成电子邮件服务和看似合法的进程，以便融入环境并逃避检测。
威胁行为者通常会将其恶意软件命名为合法操作系统组件或进程，以作为防御规避措施。通过借用真实二进制文件的名称，它可能在其他 Windows 进程中显得不那么显眼，赋予其虚假的信任感，或在分析师的随意检查中被忽视。
然而，Rapid7 研究的后门发现，它们不仅仅是模仿文件名，还假冒了在韩国和台湾企业环境中广泛使用的电子邮件安全产品，如 SpamSniper 和 ShareTech。
根据供应商 Jiran Group 的说法，SpamSniper 被宣传为“韩国领先的电子邮件安全解决方案”，可以保护组织免受垃圾邮件、恶意软件和服务器攻击。
恶意工件包括一种新的 BPFDoor 变体和一种针对韩国目标使用的 BPF Rekoobe 构建，以及一种之前未报告的 Linux 植入物 AVERAT，它通过投放器交付并针对台湾设备进行部署。
“针对韩国系统的 BPFDoor 变体伪装成 SpamSniper 的 PID 文件，这是一个韩国反垃圾邮件产品，并在十个 Linux 守护进程名称之间轮换，”Rapid7 表示。“在这些样本中，每个组件采用的名称和约定旨在看起来在其目标环境中毫无特别之处。”
BPFDoor 及其多个变体在今年早些时候成为 Rapid7 的广泛分析对象，该活动与一个名为 Red Menshen（又名 Earth Bluecrow、DecisiveArchitect 和 Red Dev 18）的威胁组织有关，该组织自 2021 年以来一直针对中东和亚洲的电信提供商。
从高层来看，BPFDoor 滥用伯克利数据包过滤器（BPF）功能来检查传入的网络流量，并仅在检测到魔法数据包时激活其行为。新版本 BPFDoor 的检测表明，背后恶意软件的威胁行为者正在积极改进和重新工具其武器库，以应对公开披露。
“当安全供应商编写静态网络签名（Suricata/Snort）以检测这些第四层异常时，操作人员开始针对边缘代理，”Rapid7 表示。“通过将魔法数据包包装在标准 HTTPS POST 请求中，并依赖电信环境中常见的 SSL 卸载，可以以一种可能逃避常规深度数据包检查的方式将触发器传递到感染 BPFDoor 的节点。”
虽然一些 BPFDoor 样本伪装成 SpamSniper，但另一个工件将其进程名称设置为“ora_ppmond”，模仿与 Oracle 支持的电信用户和配置平台相关的命名约定。具体而言，该名称似乎是对“ora_pmon_*”的引用，代表 Oracle 数据库实例的进程监控（PMON）后台进程。
一旦被触发，BPFDoor 样本启动一个 TinyShell 会话，并支持命令以便于交互式 shell、上传和下载功能。有趣的是，TinyShell 的使用之前已被归因于与中国相关的集群，如 Liminal Panda、UNC3886（又名 Fire Ant）和 Velvet Ant，它们都专门针对电信网络和边缘设备。
“这些样本显示 BPFDoor 作为一个模块化框架运行，适应其目标的电信层，集成 TinyShell 和 Rekoobe 逻辑以支持数据外泄，”Rapid7 解释道。
与该活动一起观察到的是一个基于 Rekoobe 的 BPF 后门，它拦截源和目标端口均为 25 的 TCP/UDP/SCTP IPv4 和 UDP IPv6 流量。此外，它将其进程命名为 SpamSniper 的组件。
在一个重叠的活动中观察到的投放器是一个 ELF 二进制文件，充当 AVERAT 的本地安装程序，AVERAT 是一个模块化植入物，使用简单邮件传输协议（SMTP）进行命令与控制（C2）并掩盖其恶意活动。
位于 ShareTech 设备的“/addpkg/sbin/”附加包目录中的 ELF 投放器通过从字符串“ShareTech”派生其加密密钥，然后使用它解密一个负责准备和执行两个二进制文件的 shell 脚本：“ntpdate”，即投放器本身，以及“udevds”，即 AVERAT 有效载荷。这两个文件在 10 秒后被删除。
AVERAT 每 600 到 699 秒通过 TCP 25 端口定期轮询一个 C2 服务器（“mx.zxopfds[.]com”）。服务器详细信息和信标间隔从加密配置中提取。该后门支持一长串命令代码，包括 -
20，枚举目录内容
21，从主机下载文件，支持恢复
22，分块上传文件到主机
25，递归删除文件或目录树
30，递归遍历目录树
629，枚举运行中的进程及其命令行
632，终止进程（SIGTERM）
842，在运行时覆盖 C2 主机和端口表
912，打开一个交互式 shell 会话，最多支持 10 个并发会话
914，在打开的 shell 会话中写入命令
916，重启设备
1010，加载或卸载共享对象（*.so）模块，扩展植入物功能
1576，设置回调间隔并将其持久化到数据库
1618，通过设备打开代理或端口转发通道
unknown，立即关闭套接字并终止进程
根据 Rapid7 的说法，AVERAT 的 C2 基础设施与通常与操作中继盒（ORB）网络相关的设备类别配置文件相匹配，尽管没有证据表明它是任何已知 ORB 的一部分，如 LapDogs（又名 UAT-7810）、SPACEHOP 和 FLORAHOX。
建议组织审查不需要数据包捕获的 Linux 系统上的意外原始数据包套接字和 BPF 过滤器，审计来自非邮件服务进程的出站 TCP 25 连接，扫描正在运行的进程。