BPFDoor - скрытный Linux-бэкдор, который связывают с китайскими APT-группами и атаками на телеком-инфраструктуру.
Он подключается к raw-сокету и анализирует входящие пакеты до того, как их обработают правила
iptables или nftables. Поэтому корректно настроенный firewall сам по себе не гарантирует защиту.Бэкдор не открывает постоянный порт и большую часть времени никак себя не выдаёт. Для активации атакующий отправляет специально сформированный пакет, после чего BPFDoor может установить обратное соединение и предоставить удалённый доступ к системе.
Обычный скан портов здесь мало поможет. При проверке стоит обращать внимание на подозрительные raw-сокеты, активные BPF-фильтры, замаскированные процессы и необычные исходящие соединения.
В статье разобраны устройство BPFDoor и способы его обнаружения:
https://hackers-arise.com/compromising-telecom-systems-deploying-and-detecting-the-bpfdoor-backdoor/
#cybersecurity #linux #infosec #telecom