Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan

Cier­tas puer­tas tra­se­ras para Linux di­ri­gi­das a redes y te­le­co­mu­ni­ca­cio­nes en Tai­wán y Corea del Sur han adop­ta­do iden­ti­da­des de he­rra­mien­tas de se­gu­ri­dad de co­rreo elec­tró­ni­co y de pro­ce­sos ha­bi­tua­les para ocul­tar su trá­fi­co. Estas ame­na­zas uti­li­zan de­no­mi­na­cio­nes de com­po­nen­tes reales del sis­te­ma ope­ra­ti­vo para pasar inad­ver­ti­das ante los ana­lis­tas o apa­ren­tar mayor le­gi­ti­mi­dad. No obs­tan­te, las in­ves­ti­ga­cio­nes han de­mos­tra­do que este soft­wa­re ma­li­cio­so va más allá al su­plan­tar pro­duc­tos cor­po­ra­ti­vos de co­rreo muy em­plea­dos en di­chas re­gio­nes, como Sha­re­Tech y SpamS­ni­per.

Entre las pie­zas ana­li­za­das se han iden­ti­fi­ca­do va­rian­tes de BPF­Door y cons­truc­cio­nes de BPF Re­koo­be orien­ta­das a blan­cos sur­co­rea­nos, así como un im­plan­te Linux des­co­no­ci­do hasta ahora y lla­ma­do AVERAT, dis­tri­bui­do me­dian­te un ins­ta­la­dor en Tai­wán. Las va­rian­tes de BPF­Door imi­tan ar­chi­vos PID es­pe­cí­fi­cos y adop­tan nom­bres adap­ta­dos a su en­torno, ade­más de em­plear téc­ni­cas para elu­dir la ins­pec­ción pro­fun­da de pa­que­tes al en­cap­su­lar sus so­li­ci­tu­des den­tro de trá­fi­co HTTPS común. Por su parte, la cam­pa­ña re­la­cio­na­da con AVERAT uti­li­za un bi­na­rio ELF para des­ple­gar scripts y ar­chi­vos que pos­te­rior­men­te se eli­mi­nan, em­plean­do el pro­to­co­lo SMTP para co­mu­ni­car­se con su ser­vi­dor de co­man­do y con­trol y eje­cu­tar di­ver­sas fun­cio­nes de ges­tión y con­trol sobre los equi­pos afec­ta­dos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos ope­ra­ti­vos de estas cam­pa­ñas más allá de los me­ca­nis­mos téc­ni­cos y de su­plan­ta­ción des­cri­tos.