Rapid7 mengungkap kampanye siber yang menargetkan perangkat telekomunikasi dan network appliances berbasis Linux di Korea Selatan dan Taiwan. Kampanye ini memakai beberapa backdoor sekaligus, termasuk varian baru BPFDoor, BPF Rekoobe, serta malware Linux baru bernama AVERAT.
Malware tersebut memakai teknik process spoofing — menyamar sebagai komponen yang sah seperti SpamSniper, ShareTech, dan proses Oracle — agar lolos dari pemeriksaan sistem. BPFDoor memanfaatkan Berkeley Packet Filter (BPF) untuk memantau trafik dan hanya aktif ketika menerima magic packet. Sementara itu, AVERAT menjadikan SMTP pada TCP port 25 sebagai kanal command-and-control (C2), dengan kemampuan menjalankan interactive shell, mengunggah dan mengunduh file, menghentikan proses, melakukan proxy/port forwarding, serta memuat modul tambahan.
Organisasi disarankan memantau penggunaan raw packet socket dan BPF pada sistem Linux yang tidak membutuhkan fungsi packet capture, mengidentifikasi koneksi keluar TCP port 25 yang berasal dari proses selain layanan email, memeriksa proses yang memakai nama daemon tidak semestinya, serta membatasi akses manajemen terhadap perangkat jaringan.
Sumber: https://idsirtii.bssn.go.id/news-events/news/bpfdoor-dan-averat-menargetkan-perangkat-telekomunikasi-dengan-menyamarkan-trafik-sebagai-layanan-email
