BPFDoor ve AVERAT Zararlı Yazılımları Telekomünikasyon Ağlarını Hedef Alıyor

Linux tabanlı sistemleri hedef alan yeni bir zararlı yazılım dalgası, telekomünikasyon ortamlarındaki cihazların çalışma prensiplerine uyum sağlayarak ağ güvenliğini tehdit ediyor. Rapid7 araştırmacıları, BPFDoor ve AVERAT isimli zararlı yazılımların, hedeflenen sistemlerdeki yazılım konvansiyonlarını taklit ederek kendilerini gizlediğini ortaya çıkardı. Saldırganlar, özellikle Güney Kore'deki sistemlerde SpamSniper gibi yerel güvenlik ürünlerinin süreçlerini taklit ederken, Tayvan'daki cihazlarda ise farklı bir Linux implantı kullanıyor.

Saldırı zinciri, iki aşamalı bir yapı üzerine kurulu. Bir dropper, sistemin depolama alanına bir kabuk betiği yazıp çalıştırıyor. Bu betik, zararlı yükleri /sbin dizinine ntpdate ve udevds isimleriyle yerleştiriyor. Ardından bu dosyalar silinse bile, süreçler bellekte çalışmaya devam ediyor. Yazılım, HTTPS POST isteklerini kullanarak komutları gizliyor ve böylece geleneksel derin paket inceleme yöntemlerini atlatmayı başarıyor. Yeni kontrolcü, meşru görünen web istekleri arasına yerleştirdiği verilerle, güvenlik duvarlarının dikkatinden kaçmayı hedefliyor.

Saldırganlar, klasik port taramalarından kaçınmak için pasif BPF implantları kullanıyor. Dışa dönük trafik, DNS ve TCP trafiği içine gizlenirken, komuta kontrol merkeziyle iletişim için SMTP protokolünden yararlanılıyor. Bu yöntem, özellikle ağın merkezine yakın konumlanan CCTV ve DVR gibi gömülü sistemleri kullanan telekomünikasyon operatörleri için ciddi bir risk oluşturuyor. Araştırmacılar, zararlı yazılımın ShareTech gibi dizin isimlerini kullanarak sistemin bir parçası gibi görünmeye çalıştığını ve gelişmiş gizleme teknikleriyle tespit edilmeyi zorlaştırdığını belirtiyor.