Um backdoor Linux perigoso chamado BPFDoor retornou em uma forma mais poderosa, com pesquisadores descobrindo novas variantes construídas para permanecer invisíveis dentro de infraestrutura crítica de rede.
Descoberta e escopo
Os pesquisadores da Rapid7 identificaram sete novas variantes do BPFDoor após uma investigação de vários meses que envolveu a análise de quase 300 amostras de malware. As duas variantes principais descobertas — icmpShell e httpShell — avançam significativamente a capacidade do backdoor de permanecer oculto e operar sem detecção.
As atualizações estão vinculadas a um grupo de ameaças de origem chinesa conhecido como Red Menshen, que tem como alvo servidores Linux incorporados profundamente em redes de telecomunicações globais. Ao contrário das cepas anteriores, as novas variantes vêm equipadas com técnicas que as tornam muito mais difíceis de detectar e até mais difíceis de remover uma vez dentro de um sistema comprometido.
Vetor e exploração
O BPFDoor funciona explorando o Berkeley Packet Filter, uma função legítima do kernel Linux usada para inspecionar e filtrar tráfego de rede. O malware carrega um filtro BPF personalizado que monitora todos os pacotes de entrada em um sistema infectado sem nunca abrir uma porta visível.
Firewalls não veem nada incomum, e varreduras de porta padrão retornam resultados limpos. O backdoor aguarda silenciosamente por um gatilho especialmente elaborado, conhecido como "pacote mágico", e só é ativado quando esse sinal exato chega.
Este design passivo é o que permitiu que o BPFDoor permanecesse indetectável em redes comprometidas por meses ou até anos.
Impacto e alcance
O malware foi encontrado vivendo dentro da infraestrutura de backbone de telecomunicações, onde fornece acesso persistente e de longo prazo aos atacantes para interceptar e manipular comunicações sensíveis. Seu suporte para protocolos nativos de telecomunicações como SCTP, combinado com uma consciência de ambientes de runtime de contêiner, mostra que esta ferramenta foi construída especificamente para alvos de alta valor em infraestrutura profunda.
O padrão de atividade aponta para um grupo patrocinado por estado conduzindo uma campanha de ciberespionagem de longo prazo, em vez de uma intrusão rápida e oportunista.
Medidas de mitigação recomendadas
Equipes de segurança devem monitorar o uso de sockets brutos em endpoints Linux, auditar nomes de processo contra serviços conhecidos e observar tráfego ICMP inesperado dentro de redes internas. O backdoor abre três sockets paralelos para TCP, UDP e ICMP, fornecendo um fallback se os defensores bloquearem um canal.
No host, ele disfarça seu processo como um serviço legítimo como HPE Insight Management Agents, realiza timestomping e limpa descritores de arquivo para apagar todos os rastros.
O que os CISOs devem fazer imediatamente
- Auditar processos Linux em busca de nomes suspeitos que imitam serviços legítimos
- Monitorar tráfego ICMP interno para comunicações anômalas
- Implementar detecção de uso de sockets brutos em endpoints críticos
- Revisar logs de kernel para atividade BPF incomum
Perguntas frequentes
Qual é a principal diferença entre as variantes antigas e novas?
A principal mudança é o uso de roteamento C2 stateless e relays ICMP, permitindo que os atacantes operem sem expor um endereço fixo de comando e controle.
Quais setores estão mais afetados?
Infraestrutura de telecomunicações e redes de backbone são os alvos primários, mas qualquer organização com servidores Linux críticos pode estar em risco.