BPFDoor, Rekoobe e AVERAT: backdoor Linux nascoste nella posta

Il 2 ottobre 2026 Rapid7 ha pubblicato una ricerca su tre famiglie di backdoor Linux usate contro operatori di telecomunicazioni e appliance di rete in Corea del Sud e a Taiwan: una nuova variante di BPFDoor, una versione di Rekoobe basata su BPF e un nuovo impianto che i ricercatori chiamano AVERAT.

Il filo comune è il camuffamento. I processi prendono il nome di componenti legittimi dei dispositivi colpiti e il traffico di controllo passa per la porta 25, quella della posta. Su un gateway di sicurezza della posta, che per mestiere manda e riceve email, è molto difficile distinguerlo dal lavoro normale.

Cosa è successo

Secondo la ricerca, ripresa da Infosecurity Magazine, Dark Reading, The Hacker News e Help Net Security:

• in Corea del Sud sono stati osservati la nuova variante di BPFDoor e la build di Rekoobe con filtro BPF;
• a Taiwan un dropper e sei build di AVERAT, installati su appliance di rete.

Rapid7 non ha attribuito le campagne a un gruppo preciso. L’infrastruttura usata da AVERAT corrisponde al profilo delle reti di relay legate alla Cina (operational relay box, ORB) descritte in un avviso di CISA e partner di aprile 2026, ma non coincide con nessuna rete ORB già nota: l’attribuzione è ancora in corso. Le fonti non nominano le vittime.

Dettagli tecnici

BPFDoor preoccupa i team di sicurezza delle telco da anni. Applica un filtro BPF (Berkeley Packet Filter) a un socket raw e resta in silenzio, senza porte in ascolto e senza contatti verso l’esterno, finché non riceve un “pacchetto magico”. La variante sudcoreana usa i nomi dei processi di SpamSniper, un prodotto antispam coreano; un altro campione prende invece il nome di processi delle piattaforme di gestione degli abbonati degli operatori basate su Oracle. Rapid7 descrive anche un controller di BPFDoor che incapsula il pacchetto di attivazione in richieste HTTPS POST: così il segnale può attraversare i proxy perimetrali e sfuggire all’ispezione dei pacchetti tradizionale.

Rekoobe con BPF attende traffico con porta di origine e di destinazione entrambe 25 e usa anch’esso i nomi di componenti di SpamSniper. Secondo Rapid7, le regole dei firewall che permettono il relay della posta tra server lasciano arrivare il pacchetto di attivazione all’impianto prima di qualsiasi ispezione stateful.

AVERAT fa il contrario: non aspetta, si collega. Apre una connessione in uscita sulla porta TCP 25, parla SMTP (invia EHLO e chiede STARTTLS) e solo dopo avvia la propria sessione cifrata. Nei flussi di rete di un gateway di posta questa connessione è indistinguibile dal traffico legittimo. Si fa vivo ogni 600–699 secondi e accetta comandi per trasferire file, terminare processi, aprire fino a dieci shell contemporanee e creare canali di proxy o di inoltro delle porte.

Relay su dispositivi di terzi: tre build di AVERAT contattano indirizzi scritti nel codice che appartengono a dispositivi compromessi a Taiwan, estranei ai bersagli: un NAS Synology, un’appliance per piccole imprese ormai obsoleta e un videoregistratore Dahua. Su tutti e tre girava lo stesso servizio VPN PPTP, che secondo Rapid7 è stato installato dagli operatori e apre loro anche una strada nella rete di ciascun proprietario.

Indicatori pubblici: gli articoli consultati non riportano hash né indirizzi; per gli indicatori fai riferimento alla ricerca originale di Rapid7.

MITRE ATT&CK (mappatura dai fatti riportati): T1205.002 (Traffic Signaling: Socket Filters), T1036.005 (Masquerading: Match Legitimate Name or Location), T1071.003 (Application Layer Protocol: Mail Protocols), T1573 (Encrypted Channel), T1059.004 (Unix Shell), T1105 (Ingress Tool Transfer), T1090 (Proxy), T1584.008 (Compromise Infrastructure: Network Devices).

Impatto per le aziende europee e italiane

Le fonti non citano vittime in Europa. Lo schema però vale ovunque: gateway di posta, VPN e firewall sono esposti a Internet e hanno accesso privilegiato alla rete. Come ricorda Christiaan Beek di Rapid7 a Help Net Security, sono spesso scatole chiuse gestite dal fornitore, su cui non si può installare un EDR: un punto d’appoggio ideale per restare a lungo.

Per gli operatori di telecomunicazioni il rischio va oltre il furto di dati: dal nucleo della rete un attaccante può osservare identificativi degli abbonati, segnalazione, autenticazioni e metadati delle comunicazioni. Nella NIS2 i fornitori di reti e servizi pubblici di comunicazione elettronica rientrano nelle infrastrutture digitali, tra i settori ad alta criticità, e l’articolo 21 chiede misure di gestione del rischio che comprendono la sicurezza della catena di fornitura. Un’appliance di cui non puoi verificare il comportamento è un rischio da gestire, non solo da affidare al fornitore.

Anche chi non è un operatore è coinvolto: i relay di AVERAT erano NAS, videoregistratori e vecchie appliance di piccole aziende, dispositivi comuni anche nelle PMI italiane. Un dispositivo dimenticato, con l’accesso di gestione aperto, può diventare un nodo dell’infrastruttura di qualcun altro.

Cosa fare subito

1. Cerca socket raw e filtri BPF inattesi sui server e sulle appliance Linux dove hai una shell: ss -0 -p (oppure /proc/net/packet) elenca i socket di pacchetto e i processi che li usano. Pochi processi hanno motivo di aprirli, per esempio strumenti di cattura o client DHCP: ogni altro va verificato.
2. Cerca processi con l’eseguibile cancellato, che in /proc mostrano il suffisso (deleted): per esempio ls -l /proc/*/exe 2>/dev/null | grep deleted.
3. Controlla chi usa la porta 25 in uscita: deve farlo solo il servizio di posta (ss -tnp state established '( dport = :25 )'). Sui gateway di posta i flussi non bastano: guarda quale processo apre la connessione.
4. Verifica i nomi dei processi: un processo che porta il nome di un demone comune o di un componente del prodotto, ma gira da un percorso insolito, va controllato.
5. Restringi il relay SMTP: limita le regole dei firewall che consentono la porta 25 tra server ai soli peer di posta necessari.
6. Chiudi l’accesso di gestione a router, NAS, videoregistratori e appliance perimetrali: niente esposizione su Internet, solo dalle reti di amministrazione. Disattiva PPTP e verifica che non ci siano servizi VPN che non hai configurato tu.
7. Chiedi ai fornitori delle appliance chiuse come verificarne l’integrità, se non puoi farlo da solo.
8. Riferisci con onestà: Beek suggerisce di riportare alla direzione cosa si è cercato, cosa non si riesce a vedere e chi chiude quel divario, entro quando. “Nessuna evidenza” non vuol dire “siamo puliti”.

Come aiuta ARXDOME

Sui server Linux su cui è installato, l’agent di ARX Sentry raccoglie log, inventario di processi e porte e modifiche ai file nelle cartelle stabilite, e li porta nelle pagine del SOC. ARX Watch trova i dispositivi senza sonda sulla rete, come NAS e videoregistratori, e avvisa quando ne compare uno nuovo. ARX Expose mostra dall’esterno porte aperte e prodotti riconosciuti, comprese le interfacce di gestione esposte per errore. Sulle appliance chiuse resta il limite di cui parla Beek: la visibilità dipende da ciò che il dispositivo consente.

Ultimo aggiornamento: 9 ottobre 2026