Malicious Linux Implants Mimic Asian Mail Security Products

In­ves­ti­ga­do­res han des­cu­bier­to nue­vas ame­na­zas para sis­te­mas Linux que imi­tan con gran pre­ci­sión los nom­bres de ar­chi­vo, el trá­fi­co per­mi­ti­do por los cor­ta­fue­gos y los há­bi­tos ope­ra­ti­vos de he­rra­mien­tas de se­gu­ri­dad de co­rreo elec­tró­ni­co po­pu­la­res en Asia. Estas cam­pa­ñas ma­li­cio­sas uti­li­zan có­di­gos avan­za­dos para ca­mu­flar­se en dis­po­si­ti­vos ubi­ca­dos en los lí­mi­tes de las redes, di­fi­cul­tan­do su de­tec­ción al imi­tar el com­por­ta­mien­to de so­lu­cio­nes le­gí­ti­mas en Corea y Tai­wán.

Una de las cam­pa­ñas de­tec­ta­das in­vo­lu­cra nue­vas va­rian­tes del co­no­ci­do pro­gra­ma "BPF­door" y una ver­sión del tro­yano de ac­ce­so re­mo­to "Re­koo­be", los cua­les adop­tan la iden­ti­dad de un soft­wa­re an­tis­pam sur­co­reano. Estas ame­na­zas em­plean téc­ni­cas si­gi­lo­sas de es­cu­cha y pro­pa­ga­ción, uti­li­zan­do ade­más los mis­mos iden­ti­fi­ca­do­res de pro­ce­sos y ser­vi­cios del sis­te­ma que el soft­wa­re ori­gi­nal al que imi­tan, apun­tan­do a or­ga­ni­za­cio­nes del sec­tor pú­bli­co y de te­le­co­mu­ni­ca­cio­nes.

Otra cam­pa­ña dis­tin­ta des­cu­bier­ta se cen­tra en una he­rra­mien­ta lla­ma­da "AVERAT" y en un ins­ta­la­dor ma­li­cio­so que su­plan­ta la iden­ti­dad de un fa­bri­can­te tai­wa­nés de apa­ra­tos de se­gu­ri­dad de co­rreo. Estos pro­gra­mas em­plean el puer­to de red tra­di­cio­nal para el in­ter­cam­bio de co­rreo elec­tró­ni­co con el fin de co­mu­ni­car­se con sus ope­ra­do­res de ma­ne­ra ca­mu­fla­da, uti­li­zan­do ade­más dis­po­si­ti­vos pe­ri­fé­ri­cos com­pro­me­ti­dos como pun­tos de re­trans­mi­sión para ocul­tar sus ser­vi­do­res de con­trol.