แบ็กดอร์ลินุกซ์ปลอมตัวเป็นซอฟต์แวร์ความปลอดภัยอีเมลเจาะอุปกรณ์โทรคมนาคมในเกาหลีใต้และไต้หวัน — BPFDoor รุ่นใหม่และ AVERAT สั่งงานผ่าน SMTP

สรุปสั้น

บริษัท Rapid7 เปิดเผยแบ็กดอร์ลินุกซ์ชุดใหม่ที่เจาะอุปกรณ์โทรคมนาคมและอุปกรณ์เครือข่ายในเกาหลีใต้และไต้หวัน จุดเด่นคือการพรางตัวที่ไปไกลกว่าการตั้งชื่อไฟล์เลียนแบบโปรเซสของระบบ เพราะมัลแวร์ปลอมตัวเป็นผลิตภัณฑ์ความปลอดภัยอีเมลที่องค์กรในแต่ละประเทศใช้จริง ฝั่งเกาหลีใต้พบ BPFDoor รุ่นใหม่และแบ็กดอร์ BPF ที่สร้างจาก Rekoobe ปลอมชื่อไฟล์และโปรเซสของ SpamSniper ซอฟต์แวร์กันสแปมของบริษัท Jiran Group ส่วนฝั่งไต้หวันพบ dropper ซ่อนในไดเรกทอรีเสริมของอุปกรณ์ ShareTech ซึ่งติดตั้งมัลแวร์ตัวใหม่ที่ Rapid7 ตั้งชื่อว่า AVERAT

AVERAT เป็น implant แบบโมดูลที่ใช้โปรโตคอล SMTP พอร์ต 25 เป็นช่องทางสั่งการ (C2) ทำให้ทราฟฟิกดูเหมือนการรับส่งอีเมลตามปกติของอุปกรณ์กรองอีเมล ส่วน BPFDoor รุ่นใหม่แสดงให้เห็นว่าผู้พัฒนาปรับตัวตามการเปิดโปงของนักวิจัย โดยห่อ magic packet ที่ใช้ปลุกแบ็กดอร์ไว้ใน HTTPS POST แล้วอาศัยการถอดรหัส SSL ที่ proxy ขอบเครือข่ายของผู้ให้บริการโทรคมนาคมส่งต่อให้ถึงเครื่องเป้าหมาย Rapid7 สรุปว่าจุดร่วมของทุกตัวอย่างคือ “การพรางตัวตามภูมิภาค” ที่รู้ล่วงหน้าว่าเครื่องเป้าหมายรันซอฟต์แวร์ของผู้ผลิตใด

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 อ้างรายงานของ Rapid7 ว่าตัวอย่างมัลแวร์ที่พบประกอบด้วย BPFDoor รุ่นใหม่และ Rekoobe รุ่นที่ใช้ BPF ซึ่งใช้กับเป้าหมายในเกาหลีใต้ และ AVERAT ซึ่งเป็น implant ลินุกซ์ที่ไม่เคยมีรายงานมาก่อน ส่งผ่าน dropper ไปยังอุปกรณ์ในไต้หวัน Jiran Group โฆษณา SpamSniper ว่าเป็น “โซลูชันความปลอดภัยอีเมลชั้นนำของเกาหลี” ส่วน ShareTech เป็นผู้ผลิตอุปกรณ์ความปลอดภัยเครือข่ายและอีเมลที่ใช้แพร่หลายในไต้หวัน

Rapid7 ระบุว่า “BPFDoor ที่พบในระบบของเกาหลีใต้ปลอมไฟล์ PID ของ SpamSniper และหมุนเวียนใช้ชื่อ daemon ของลินุกซ์ 10 ชื่อ แต่ละองค์ประกอบใช้ชื่อและรูปแบบที่ออกแบบให้ดูธรรมดาในสภาพแวดล้อมที่เล็ง” ตัวอย่างอีกตัวตั้งชื่อโปรเซสว่า “ora_ppmond” ซึ่งเลียนแบบ “ora_pmon_*” โปรเซสเบื้องหลัง Process Monitor (PMON) ของฐานข้อมูล Oracle ที่พบบ่อยในแพลตฟอร์มจัดการผู้ใช้บริการของผู้ให้บริการโทรคมนาคม

BPFDoor เคยถูก Rapid7 วิเคราะห์อย่างละเอียดเมื่อต้นปีนี้ และเชื่อมโยงกับกลุ่ม Red Menshen (หรือ Earth Bluecrow, DecisiveArchitect และ Red Dev 18) ที่เล็งผู้ให้บริการโทรคมนาคมในตะวันออกกลางและเอเชียมาตั้งแต่ปี 2564 ทั้งนี้ในรายงานรอบนี้ Rapid7 ไม่ได้ระบุชัดว่าตัวอย่างทั้งหมดเป็นฝีมือกลุ่มเดียวกัน และใช้คำว่า “ผู้โจมตี (หนึ่งรายหรือหลายราย)” ส่วนการใช้ TinyShell ซึ่งพบในตัวอย่าง BPFDoor นั้น เคยถูกโยงกับกลุ่มสายจีนหลายกลุ่ม เช่น Liminal Panda, UNC3886 (Fire Ant) และ Velvet Ant ซึ่งล้วนเล็งเครือข่ายโทรคมนาคมและอุปกรณ์ขอบเครือข่าย

วิธีการโจมตี

BPFDoor ใช้ความสามารถ Berkeley Packet Filter (BPF) ของลินุกซ์ดักดูทราฟฟิกขาเข้าแบบ passive โดยไม่เปิดพอร์ตรอ และจะทำงานเมื่อพบ magic packet ที่กำหนดไว้เท่านั้น จึงหลบการสแกนพอร์ตแบบทั่วไปได้ Rapid7 อธิบายว่า “เมื่อ vendor ความปลอดภัยเขียน signature เครือข่ายแบบ static (Suricata/Snort) ตรวจความผิดปกติในชั้น Layer 4 ได้ ผู้ควบคุมก็หันไปเล็ง proxy ที่ขอบเครือข่าย โดยห่อ magic packet ใน HTTPS POST ปกติ และอาศัย SSL offloading ที่พบบ่อยในเครือข่ายโทรคมนาคม” เมื่อถูกปลุก BPFDoor จะเปิดเซสชัน TinyShell ที่รองรับ shell แบบโต้ตอบ อัปโหลด และดาวน์โหลดไฟล์ Rapid7 มองว่า BPFDoor ทำงานเป็นเฟรมเวิร์กแบบโมดูลที่ปรับตามชั้นของระบบโทรคมนาคมที่เล็ง โดยผสานตรรกะของ TinyShell และ Rekoobe เพื่อส่งข้อมูลออก

แบ็กดอร์ BPF ที่สร้างจาก Rekoobe ดักทราฟฟิก TCP/UDP/SCTP บน IPv4 และ UDP บน IPv6 ที่พอร์ตต้นทางและปลายทางเป็น 25 ทั้งคู่ และตั้งชื่อโปรเซสตามองค์ประกอบของ SpamSniper การเลือกพอร์ต 25 บนเครื่องกรองอีเมลทำให้ทราฟฟิกของแบ็กดอร์กลืนไปกับทราฟฟิก SMTP ที่เครื่องนั้นต้องรับส่งอยู่แล้ว

ฝั่งไต้หวัน dropper เป็นไฟล์ ELF ที่วางอยู่ในไดเรกทอรีแพ็กเกจเสริม “/addpkg/sbin/” ของอุปกรณ์ ShareTech ตัวมันสร้างคีย์ถอดรหัสจากสตริง “ShareTech” แล้วถอดรหัส shell script ที่จัดวางและรันไบนารีสองตัว คือ “ntpdate” ซึ่งเป็นตัว dropper เอง และ “udevds” ซึ่งเป็น payload AVERAT ก่อนลบทั้งสองไฟล์ทิ้งภายใน 10 วินาที AVERAT ติดต่อเซิร์ฟเวอร์ C2 “mx.zxopfds[.]com” ทาง TCP พอร์ต 25 ทุก 600–699 วินาที โดยอ่านที่อยู่เซิร์ฟเวอร์และรอบเวลาจากคอนฟิกที่เข้ารหัส

AVERAT รองรับคำสั่งจำนวนมาก เช่น แสดงรายการไฟล์ ดาวน์โหลดไฟล์แบบต่อจากจุดเดิมได้ อัปโหลดไฟล์เป็นชิ้น ลบไฟล์และไดเรกทอรีแบบ recursive แสดงรายการโปรเซสพร้อม command line และสั่งปิดโปรเซส เปลี่ยนตาราง host และพอร์ต C2 ขณะรัน เปิด shell แบบโต้ตอบได้พร้อมกันถึง 10 เซสชัน รีบูตอุปกรณ์ โหลดหรือถอดโมดูล shared object (*.so) เพื่อเพิ่มความสามารถ ตั้งรอบ callback และบันทึกลงฐานข้อมูล รวมถึงเปิดช่อง proxy หรือ port-forward ผ่านอุปกรณ์ Rapid7 ระบุว่าโครงสร้างพื้นฐาน C2 ของ AVERAT มีลักษณะตรงกับเครือข่าย Operational Relay Box (ORB) แต่ไม่มีหลักฐานว่าเป็นส่วนหนึ่งของ ORB ที่รู้จัก เช่น LapDogs (UAT-7810), SPACEHOP หรือ FLORAHOX

ผลกระทบ

เป้าหมายของแคมเปญคืออุปกรณ์ที่อยู่ในตำแหน่งได้เปรียบที่สุดของเครือข่าย ได้แก่ เกตเวย์อีเมล (SEG) และอุปกรณ์ขอบเครือข่ายของผู้ให้บริการโทรคมนาคม ซึ่งมองเห็นอีเมลและทราฟฟิกจำนวนมากโดยตรง แต่มักไม่มี EDR และถูกมองข้ามในการตรวจสอบ เมื่อแบ็กดอร์ใช้ชื่อซอฟต์แวร์ของผู้ผลิตที่ติดตั้งอยู่จริงบนเครื่องนั้น ผู้ดูแลที่เปิดดูรายการโปรเซสก็แทบไม่มีเหตุให้สงสัย ส่วนการใช้ BPF แบบ passive และ C2 ผ่าน SMTP ทำให้ทั้งการสแกนพอร์ตและการตรวจทราฟฟิกขาออกจับได้ยาก

กรณีนี้ต่อยอดแนวโน้มเดียวกับที่กลุ่มสายจีน UNC4841 เคยเจาะ Barracuda Email Security Gateway ผ่านช่องโหว่ CVE-2023-2868 และ CVE-2023-7102 ในปี 2566 เพื่อวางแบ็กดอร์ถาวร ซึ่งสะท้อนว่าอุปกรณ์ความปลอดภัยอีเมลเป็นแหล่งข่าวกรองที่ผู้โจมตีระดับรัฐให้ความสำคัญ และการพรางตัวเป็นผลิตภัณฑ์ท้องถิ่นแสดงว่าผู้โจมตีสำรวจสภาพแวดล้อมของเป้าหมายมาอย่างดีก่อนลงมือ

คำแนะนำ

• ตรวจหา raw packet socket และ BPF filter ที่ผิดปกติบนเครื่องลินุกซ์ที่ไม่จำเป็นต้องดักแพ็กเก็ต เช่น ด้วยคำสั่ง ss -0pb ที่แสดง packet socket พร้อมโปรเซสและ BPF filter ที่ผูกอยู่
• ตรวจการเชื่อมต่อขาออก TCP พอร์ต 25 จากโปรเซสที่ไม่ใช่บริการอีเมล และเฝ้าระวังการติดต่อโดเมนที่ไม่รู้จักเป็นรอบเวลาสม่ำเสมอ
• สแกนหาโปรเซสที่ใช้ชื่อ daemon ทั่วไปหรือชื่อผลิตภัณฑ์ความปลอดภัย แล้วเทียบพาธไบนารีและ hash กับแพ็กเกจของผู้ผลิตจริง รวมถึงตรวจไดเรกทอรีแพ็กเกจเสริมอย่าง /addpkg/sbin/ บนอุปกรณ์ ShareTech
• จำกัดการเข้าถึงหน้าจัดการของเราเตอร์ DVR เกตเวย์อีเมล และอุปกรณ์ขอบเครือข่ายอื่นผ่านเครือข่ายจัดการที่แยกไว้เท่านั้น
• ผู้ให้บริการโทรคมนาคมที่ใช้ SSL offloading ควรตรวจเนื้อหา HTTPS POST หลังถอดรหัสก่อนส่งต่อเข้าเครือข่ายภายใน และทบทวนกฎ Suricata/Snort สำหรับ BPFDoor ให้ครอบคลุมรูปแบบใหม่

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนนำไปใช้ต้องแปลงกลับ

แหล่งอ้างอิง

• Rapid7 — SMTP Is the Key: BPFDoor and AVERAT Hitting the Network Edge
• The Hacker News — Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan
• Team Cymru — An Introduction to Operational Relay Box (ORB) Networks