בקר BPFDoor
חוקרי אבטחת סייבר זיהו רכיב בקר חדש המקושר לדלת האחורית הידועה לשמצה של BPFDoor. הגילוי האחרון הזה מגיע על רקע התקפות סייבר מתמשכות המכוונות למגזרי טלקומוניקציה, פיננסים וקמעונאות ברחבי דרום קוריאה, הונג קונג, מיאנמר, מלזיה ומצרים בשנת 2024.
תוכן העניינים
חפירה עמוקה יותר: מעטפת הפוכה ויכולות תנועה לרוחב
הבקר החדש שהתגלה יכול לפתוח מעטפת הפוכה, שהיא כלי רב עוצמה לתוקפים. פונקציונליות זו מאפשרת תנועה לרוחב - ומאפשרת לפושעי סייבר לחפור עמוק יותר לתוך רשתות שנפגעו, להשתלט על מערכות נוספות, ואפשר לגשת לנתונים רגישים.
חידת ייחוס: מי מאחורי הווילון?
התקפות אלו נקשרו באופן זמני לקבוצת איומים בשם Earth Bluecrow, הידועה גם בכינויים כמו DecisiveArchitect, Red Dev 18 ו-Red Menshen. עם זאת, ייחוס זה מגיע עם ביטחון בינוני. הסיבה? קוד המקור של BPFDoor הודלף בשנת 2022, כלומר גורמי איומים אחרים עשויים כעת למנף אותו גם כן.
BPFDoor: כלי ריגול מתמשך וסמוי
BPFDoor היא דלת אחורית של לינוקס שנחשפה לראשונה בשנת 2022, אם כי היא כבר הייתה בשימוש במשך שנה לפחות, מכוונת לארגונים באסיה ובמזרח התיכון. מה שמייחד אותו הוא היכולת שלו לשמור על גישה סמויה לטווח ארוך למכונות שנפגעו - מושלם לפעולות ריגול.
איך זה עובד: הקסם של מסנן מנות ברקלי
שמה של התוכנה הזדונית מגיע מהשימוש שלה ב-Berkeley Packet Filter (BPF). BPF מאפשר לתוכנה לבדוק מנות רשת נכנסות עבור רצף 'Magic Byte' ספציפי. כאשר התבנית הייחודית הזו מזוהה, היא מפעילה את הדלת האחורית - גם אם קיימת חומת אש. זה נובע מהאופן שבו BPF פועל ברמת הקרנל, עוקף הגנות חומת אש מסורתיות. אמנם נפוץ ב-rootkits, אבל טכניקה זו נדירה בדלתות אחוריות.
נגן חדש: בקר תוכנות זדוניות לא מתועדות
ניתוח אחרון מגלה ששרתי לינוקס שנפגעו נפגעו גם בבקר תוכנות זדוניות שלא תועד בעבר. ברגע שנכנס לרשת, בקר זה מקל על תנועה לרוחב ומרחיב את טווח ההגעה של התוקף על פני מערכות אחרות.
לפני שליחת 'חבילת קסם', הבקר מבקש מהמפעיל להזין סיסמה - אותה סיסמה חייבת להתאים לערך מקודד קשה בתוך תוכנת הזדונית BPFDoor. אם הוא מאומת, הוא יכול לבצע אחת מכמה פקודות:
- פתח מעטפת הפוכה
יכולות משופרות: תמיכה והצפנה בפרוטוקול
הבקר הוא רב תכליתי, תומך בפרוטוקולי TCP, UDP ו-ICMP. הוא כולל גם מצב מוצפן אופציונלי לתקשורת מאובטחת. מצב ישיר מתקדם מאפשר לתוקפים להתחבר באופן מיידי למכונות נגועים - שוב, רק עם הסיסמה הנכונה.
מבט קדימה: האיום המתרחב של BPF
BPF פותח טריטוריה חדשה ובעיקר לא נחקרה עבור תוקפי סייבר. היכולת שלו לחמוק מעבר להגנות מסורתיות הופכת אותו לכלי מושך עבור מחברי תוכנות זדוניות מתוחכמים. עבור אנשי אבטחת סייבר, הבנה וניתוח של איומים מבוססי BPF חיוניים כדי להקדים את ההתקפות העתידיות.
