BPFDoor, Rekoobe y AVERAT: backdoors Linux ocultas en el correo

El 2 de octubre de 2026 Rapid7 publicó una investigación sobre tres familias de backdoors Linux usadas contra operadores de telecomunicaciones y appliances de red en Corea del Sur y Taiwán: una nueva variante de BPFDoor, una versión de Rekoobe basada en BPF y un nuevo implante que los investigadores llaman AVERAT.

El hilo común es el camuflaje. Los procesos toman el nombre de componentes legítimos de los dispositivos comprometidos y el tráfico de control pasa por el puerto 25, el del correo. En una pasarela de seguridad del correo, cuyo trabajo es enviar y recibir emails, es muy difícil distinguirlo de la actividad normal.

Qué ha pasado

Según la investigación, recogida por Infosecurity Magazine, Dark Reading, The Hacker News y Help Net Security:

• en Corea del Sur se observaron la nueva variante de BPFDoor y la build de Rekoobe con filtro BPF;
• en Taiwán, un dropper y seis builds de AVERAT, instalados en appliances de red.

Rapid7 no ha atribuido las campañas a un grupo concreto. La infraestructura de AVERAT coincide con el perfil de las redes de relay vinculadas a China (operational relay box, ORB) descritas en un aviso de CISA y sus socios de abril de 2026, pero no coincide con ninguna red ORB conocida: la atribución sigue en curso. Las fuentes no nombran a las víctimas.

Detalles técnicos

BPFDoor preocupa desde hace años a los equipos de seguridad de las telecos. Aplica un filtro BPF (Berkeley Packet Filter) a un socket raw y permanece en silencio, sin puertos en escucha y sin contactos hacia el exterior, hasta que recibe un “paquete mágico”. La variante surcoreana usa los nombres de proceso de SpamSniper, un producto antispam coreano; otra muestra toma en cambio el nombre de procesos de las plataformas de gestión de abonados de los operadores basadas en Oracle. Rapid7 describe también un controlador de BPFDoor que encapsula el paquete de activación en peticiones HTTPS POST: así la señal puede atravesar los proxies perimetrales y eludir la inspección de paquetes tradicional.

Rekoobe con BPF espera tráfico con puerto de origen y de destino 25 y también usa nombres de componentes de SpamSniper. Según Rapid7, las reglas de firewall que permiten el relay de correo entre servidores dejan llegar el paquete de activación al implante antes de cualquier inspección stateful.

AVERAT hace lo contrario: no espera, se conecta. Abre una conexión saliente al puerto TCP 25, habla SMTP (envía EHLO y pide STARTTLS) y solo después inicia su propia sesión cifrada. En los registros de flujo de una pasarela de correo esta conexión es indistinguible del tráfico legítimo. Se comunica cada 600–699 segundos y acepta órdenes para transferir archivos, terminar procesos, abrir hasta diez shells simultáneas y crear canales de proxy o de reenvío de puertos.

Relays en dispositivos de terceros: tres builds de AVERAT contactan direcciones escritas en el código que pertenecen a dispositivos comprometidos en Taiwán, ajenos a los objetivos: un NAS Synology, un appliance obsoleto para pequeñas empresas y un videograbador Dahua. En los tres funcionaba el mismo servicio VPN PPTP, que según Rapid7 instalaron los operadores y que les abre también un camino hacia la red de cada propietario.

Indicadores públicos: los artículos consultados no incluyen hashes ni direcciones; para los indicadores, consulta la investigación original de Rapid7.

MITRE ATT&CK (mapeo a partir de los hechos publicados): T1205.002 (Traffic Signaling: Socket Filters), T1036.005 (Masquerading: Match Legitimate Name or Location), T1071.003 (Application Layer Protocol: Mail Protocols), T1573 (Encrypted Channel), T1059.004 (Unix Shell), T1105 (Ingress Tool Transfer), T1090 (Proxy), T1584.008 (Compromise Infrastructure: Network Devices).

Impacto para las empresas europeas e italianas

Las fuentes no mencionan víctimas en Europa. Pero el esquema vale en cualquier parte: pasarelas de correo, VPN y firewalls están expuestos a Internet y tienen acceso privilegiado a la red. Como recuerda Christiaan Beek, de Rapid7, en Help Net Security, a menudo son cajas cerradas gestionadas por el fabricante, en las que no se puede instalar un EDR: un punto de apoyo ideal para quedarse mucho tiempo.

Para los operadores de telecomunicaciones el riesgo va más allá del robo de datos: desde el núcleo de la red un atacante puede observar identificadores de abonados, señalización, autenticaciones y metadatos de las comunicaciones. En NIS2, los proveedores de redes y servicios públicos de comunicaciones electrónicas forman parte de las infraestructuras digitales, entre los sectores de alta criticidad, y el artículo 21 exige medidas de gestión del riesgo que incluyen la seguridad de la cadena de suministro. Un appliance cuyo comportamiento no puedes verificar es un riesgo que hay que gestionar, no solo delegar en el fabricante.

También quien no es operador está implicado: los relays de AVERAT eran NAS, videograbadores y appliances antiguos de pequeñas empresas, dispositivos habituales también en las pymes italianas. Un dispositivo olvidado, con el acceso de gestión abierto, puede convertirse en un nodo de la infraestructura de otro.

Qué hacer ya

1. Busca sockets raw y filtros BPF inesperados en los servidores y appliances Linux donde tengas una shell: ss -0 -p (o /proc/net/packet) lista los sockets de paquetes y los procesos que los usan. Pocos procesos tienen motivos para abrirlos, por ejemplo herramientas de captura o clientes DHCP: revisa cualquier otro.
2. Busca procesos con el ejecutable borrado, que en /proc muestran el sufijo (deleted): por ejemplo ls -l /proc/*/exe 2>/dev/null | grep deleted.
3. Comprueba quién usa el puerto 25 de salida: solo debe hacerlo el servicio de correo (ss -tnp state established '( dport = :25 )'). En las pasarelas de correo los flujos no bastan: mira qué proceso abre la conexión.
4. Verifica los nombres de los procesos: un proceso con el nombre de un demonio común o de un componente del producto, pero que se ejecuta desde una ruta inusual, debe revisarse.
5. Restringe el relay SMTP: limita las reglas de firewall que permiten el puerto 25 entre servidores a los pares de correo realmente necesarios.
6. Cierra el acceso de gestión a routers, NAS, videograbadores y appliances perimetrales: nada de exposición a Internet, solo desde las redes de administración. Desactiva PPTP y comprueba que no haya servicios VPN que no hayas configurado tú.
7. Pregunta a los fabricantes de los appliances cerrados cómo verificar su integridad, si no puedes hacerlo por tu cuenta.
8. Informa con honestidad: Beek sugiere contar a la dirección qué se ha buscado, qué no se puede ver y quién cerrará esa brecha, y para cuándo. “Sin evidencias” no significa “estamos limpios”.

Cómo ayuda ARXDOME

En los servidores Linux donde está instalado, el agente de ARX Sentry recoge logs, el inventario de procesos y puertos y los cambios en los archivos de las carpetas establecidas, y los lleva a las páginas del SOC. ARX Watch encuentra en la red los dispositivos sin sonda, como NAS y videograbadores, y avisa cuando aparece uno nuevo. ARX Expose muestra desde fuera los puertos abiertos y los productos reconocidos, incluidas las interfaces de gestión expuestas por error. En los appliances cerrados sigue el límite del que habla Beek: la visibilidad depende de lo que permita el dispositivo.

Última actualización: 9 de octubre de 2026