Телеком-инфраструктура под прицелом: Linux-импланты маскируются под штатное ПО конкретных регионов

Набор включает новую версию известного BPFDoor - скрытой программы для удалённого управления, которая встраивается в сетевой стек Linux. К нему примыкают сборка на основе Rekoobe против южнокорейских систем, загрузчик и шесть сборок вредоносной программы AVERAT, развёрнутых против тайваньских устройств.

Цепочка заражения строится на двух исполняемых файлах. Сначала загрузчик записывает сценарий командной оболочки в накопитель устройства и запускает его. Сценарий копирует обе полезные нагрузки в системный каталог под именами, которые не вызывают вопросов, и запускает их. Через десять секунд файлы удаляются. Процессы при этом продолжают работать. Один из них - тот же загрузчик, перезапустившийся как сторожевой процесс. На диске не остаётся ни одного образа, поэтому поиск по каталогам ничего не даёт.

Общая черта всех образцов - региональная маскировка, по данным Rapid7. Пассивные BPF-импланты не отвечают на обычное сканирование портов. Исходящие сигналы прячутся в привычном доменном и сетевом трафике, а управление идёт через электронную почту. Для оператора связи почтовые потоки - повседневная норма, поэтому обнаружить в них чужую активность трудно.

Переработанный управляющий модуль BPFDoor научился прятать команду в обычных запросах к веб-сайтам. Пограничные прокси меняют заголовки таких запросов, и прежние приёмы с фиксированными смещениями перестали работать. Тогда авторы добавили математическое выравнивание: нужная строка всегда оказывается на предсказуемой позиции внутри пакета. Со стороны это выглядит как обращение к странице входа административной панели. Сам модуль выдаёт себя за системную службу и остаётся невидимым для глубокой проверки трафика.

Южнокорейская сборка имитирует файл-маркер процесса местного антиспам-продукта SpamSniper и по очереди принимает имена десяти системных служб. Логика понятна. На таких устройствах главный легитимный трафик - пересылка писем между почтовыми серверами. Межсетевой экран обычно пропускает её без разбора, поэтому управляющий пакет доходит до скрытого обработчика раньше, чем срабатывает проверка. Другая сборка выдаёт себя за службу из состава телеком-платформ для обслуживания абонентов, и такая маскировка уместна только на узлах, где это ПО действительно установлено.

Загрузчик, судя по деталям, создан для устройств тайваньской марки ShareTech: ключ шифрования выведен из названия компании. Внутри он хранит зашифрованные данные - три пути и один сценарий. Сценарий носит расширение .php, хотя содержит команды оболочки. Запуск возможен лишь при одном условии: на устройстве уже присутствует определённый файл-метка. Каталог пакетов расширений относится к самой прошивке, поэтому загрузчик, скорее всего, получает новый запуск при каждой перезагрузке устройства.

Имплант AVERAT связывается с управляющим сервером через протокол SMTP (простой протокол передачи электронной почты) и запрашивает переход на шифрованное соединение. Слой шифрования написан вручную, а не взят из готовой библиотеки, а подлинность узла подтверждается общим секретом на уровне приложения. Проверки идут каждые 600-699 секунд. Каждая передаёт имя узла, текущего пользователя, версию операционной системы, сетевые интерфейсы и список активных сеансов. Интервал хранится в скрытом файле и переживает перезапуск.

Набор команд широк. Он позволяет просматривать и удалять файлы и целые деревья каталогов; скачивать и загружать данные с возобновлением; открывать до десяти параллельных оболочек; перезагружать устройство, предварительно сбрасывая буферы на диск; подменять адреса управляющих серверов на ходу; создавать прокси-каналы через захваченный узел. Любая незнакомая команда немедленно завершает процесс, что усложняет слепое сканирование.

Три управляющих адреса, извлечённых из конфигураций, оказались не серверами атакующих, а скомпрометированными устройствами сторонних владельцев в тайваньской сети Chunghwa Telecom. Среди них устаревшее сетевое хранилище топливной компании, давно снятый с поддержки офисный маршрутизатор и видеорегистратор Dahua. Все три объединяет запущенная служба туннелирования PPTP (устаревший механизм виртуальных частных сетей). На видеорегистраторе такой службы штатно не бывает, значит, её поставили вручную. Каждый узел работает в двух ролях: как посредник для исходящего трафика и как средство попадания во внутреннюю сеть владельца.

Профиль инфраструктуры совпадает с описанием устройств, которые CISA и NCSC-UK в совместном бюллетене AA26-113A назвали типовыми элементами сетей-посредников (ORB). Пересечений с конкретными известными сетями этого типа не найдено.

Проверка файлов на самом устройстве результата не даст, ведь полезные нагрузки не сохраняются. Искать нужно процессы, чьи исполняемые файлы уже удалены: система помечает их особым образом. Обращать внимание следует и на признаки подготовки - каталог с необычным именем на накопителе, сценарий оболочки под расширением .php, короткий файл-маркер. Если оболочка запускает такой сценарий, копирует файлы в системный каталог, меняет им права и удаляет их в течение десяти секунд, это надёжный признак заражения. В сети поводом для проверки становится исходящее почтовое соединение с устройства, не выполняющего роль почтового сервера.

Защита начинается с ограничения доступа к управлению маршрутизаторами, видеорегистраторами и другим пограничным оборудованием. Полезно следить за появлением необычных сетевых сокетов на системах, где перехват пакетов не нужен, и контролировать сетевые хранилища, через которые соседняя машина может записать исполняемый файл на встраиваемое устройство. Обновление прошивок и отказ от давно снятых с поддержки моделей снижают привлекательность таких узлов для атакующих.