BPFDoor, Rekoobe și AVERAT: backdoor-uri Linux ascunse în e-mail

Pe 2 octombrie 2026, Rapid7 a publicat o cercetare despre trei familii de backdoor-uri Linux folosite împotriva operatorilor de telecomunicații și a echipamentelor de rețea din Coreea de Sud și Taiwan: o nouă variantă de BPFDoor, o versiune de Rekoobe bazată pe BPF și un implant nou pe care cercetătorii îl numesc AVERAT.

Firul comun este camuflajul. Procesele iau numele unor componente legitime ale dispozitivelor compromise, iar traficul de control trece prin portul 25, cel al poștei electronice. Pe un gateway de securitate pentru e-mail, a cărui treabă este să trimită și să primească mesaje, este foarte greu de deosebit de activitatea normală.

Ce s-a întâmplat

Potrivit cercetării, preluate de Infosecurity Magazine, Dark Reading, The Hacker News și Help Net Security:

• în Coreea de Sud au fost observate noua variantă de BPFDoor și build-ul de Rekoobe cu filtru BPF;
• în Taiwan, un dropper și șase build-uri de AVERAT, instalate pe echipamente de rețea.

Rapid7 nu a atribuit campaniile unui grup anume. Infrastructura folosită de AVERAT corespunde profilului rețelelor de relay legate de China (operational relay box, ORB) descrise într-un aviz al CISA și al partenerilor din aprilie 2026, dar nu se suprapune cu nicio rețea ORB cunoscută: atribuirea este încă în curs. Sursele nu numesc victimele.

Detalii tehnice

BPFDoor îngrijorează de ani de zile echipele de securitate ale operatorilor telecom. Atașează un filtru BPF (Berkeley Packet Filter) unui socket raw și rămâne tăcut, fără porturi în ascultare și fără contacte spre exterior, până primește un „pachet magic”. Varianta sud-coreeană folosește numele proceselor din SpamSniper, un produs antispam coreean; o altă mostră ia în schimb numele unor procese de pe platformele de gestiune a abonaților ale operatorilor, bazate pe Oracle. Rapid7 descrie și un controller BPFDoor care încapsulează pachetul de activare în cereri HTTPS POST: astfel semnalul poate trece prin proxy-urile de la marginea rețelei și poate scăpa de inspecția clasică a pachetelor.

Rekoobe cu BPF așteaptă trafic în care atât portul sursă, cât și cel de destinație sunt 25 și folosește și el nume de componente SpamSniper. Potrivit Rapid7, regulile de firewall care permit relay-ul de e-mail între servere lasă pachetul de activare să ajungă la implant înaintea oricărei inspecții stateful.

AVERAT face invers: nu așteaptă, se conectează. Deschide o conexiune de ieșire pe portul TCP 25, vorbește SMTP (trimite EHLO și cere STARTTLS) și abia apoi pornește propria sesiune criptată. În înregistrările de flux ale unui gateway de e-mail, această conexiune nu se deosebește de traficul legitim. Se raportează la fiecare 600–699 de secunde și acceptă comenzi pentru transfer de fișiere, oprirea proceselor, deschiderea a până la zece shell-uri simultane și crearea de canale proxy sau de redirecționare a porturilor.

Relay-uri pe dispozitive terțe: trei build-uri AVERAT contactează adrese scrise în cod care aparțin unor dispozitive compromise din Taiwan, fără legătură cu țintele: un NAS Synology, un echipament învechit pentru firme mici și un videorecorder Dahua. Pe toate trei rula același serviciu VPN PPTP, despre care Rapid7 crede că a fost instalat de atacatori și care le deschide și o cale în rețeaua fiecărui proprietar.

Indicatori publici: articolele consultate nu conțin hash-uri sau adrese; pentru indicatori, consultă cercetarea originală a Rapid7.

MITRE ATT&CK (corespondență pe baza faptelor raportate): T1205.002 (Traffic Signaling: Socket Filters), T1036.005 (Masquerading: Match Legitimate Name or Location), T1071.003 (Application Layer Protocol: Mail Protocols), T1573 (Encrypted Channel), T1059.004 (Unix Shell), T1105 (Ingress Tool Transfer), T1090 (Proxy), T1584.008 (Compromise Infrastructure: Network Devices).

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Europa. Schema însă este valabilă peste tot: gateway-urile de e-mail, VPN-urile și firewall-urile sunt expuse la internet și au acces privilegiat la rețea. Așa cum amintește Christiaan Beek de la Rapid7 în Help Net Security, sunt adesea cutii închise, gestionate de furnizor, pe care nu se poate instala un EDR: un punct de sprijin ideal pentru a rămâne mult timp.

Pentru operatorii de telecomunicații riscul depășește furtul de date: din nucleul rețelei un atacator poate observa identificatori ai abonaților, semnalizare, autentificări și metadate ale comunicațiilor. În NIS2, furnizorii de rețele și servicii publice de comunicații electronice fac parte din infrastructura digitală, unul dintre sectoarele cu grad ridicat de criticitate, iar articolul 21 cere măsuri de gestionare a riscurilor care includ securitatea lanțului de aprovizionare. Un echipament al cărui comportament nu îl poți verifica este un risc de gestionat, nu doar de lăsat în seama furnizorului.

Sunt implicate și organizațiile care nu sunt operatori: relay-urile AVERAT erau NAS-uri, videorecordere și echipamente vechi ale unor firme mici, dispozitive obișnuite și în IMM-urile italiene. Un dispozitiv uitat, cu accesul de administrare deschis, poate deveni un nod în infrastructura altcuiva.

Ce să faci imediat

1. Caută socket-uri raw și filtre BPF neașteptate pe serverele și echipamentele Linux unde ai un shell: ss -0 -p (sau /proc/net/packet) listează socket-urile de pachete și procesele care le folosesc. Puține procese au motiv să le deschidă, de exemplu instrumentele de captură sau clienții DHCP: verifică orice alt proces.
2. Caută procese cu executabilul șters, care în /proc apar cu sufixul (deleted): de exemplu ls -l /proc/*/exe 2>/dev/null | grep deleted.
3. Verifică cine folosește portul 25 la ieșire: doar serviciul de e-mail ar trebui (ss -tnp state established '( dport = :25 )'). Pe gateway-urile de e-mail fluxurile nu ajung: uită-te ce proces deschide conexiunea.
4. Verifică numele proceselor: un proces care poartă numele unui daemon obișnuit sau al unei componente a produsului, dar rulează dintr-o cale neobișnuită, trebuie verificat.
5. Restrânge relay-ul SMTP: limitează regulile de firewall care permit portul 25 între servere la partenerii de e-mail cu adevărat necesari.
6. Închide accesul de administrare la routere, NAS-uri, videorecordere și echipamente de la marginea rețelei: fără expunere la internet, doar din rețelele de administrare. Dezactivează PPTP și verifică să nu existe servicii VPN pe care nu le-ai configurat tu.
7. Întreabă furnizorii echipamentelor închise cum le poți verifica integritatea, dacă nu o poți face singur.
8. Raportează onest: Beek sugerează să spui conducerii ce s-a căutat, ce nu se poate vedea și cine închide acest gol, până când. „Nicio dovadă” nu înseamnă „suntem curați”.

Cum ajută ARXDOME

Pe serverele Linux pe care este instalat, agentul ARX Sentry colectează loguri, inventarul proceselor și porturilor și modificările fișierelor din folderele stabilite, și le aduce în paginile SOC. ARX Watch găsește în rețea dispozitivele fără sondă, precum NAS-uri și videorecordere, și te avertizează când apare unul nou. ARX Expose arată din exterior porturile deschise și produsele recunoscute, inclusiv interfețele de administrare expuse din greșeală. Pe echipamentele închise rămâne limita de care vorbește Beek: vizibilitatea depinde de ce permite dispozitivul.

Ultima actualizare: 9 octombrie 2026