Последний отчет кибербезопасности выявил существенные изменения в поведении вредоносного ПО BPFDoor, направленные на обход существующих механизмов обнаружения. После инцидента со взломом крупного телекоммуникационного провайдера в апреле 2025 года исследователи получили доступ к новым образцам вредоносного кода. Эти образцы демонстрируют серьёзные отличия в архитектуре и тактиках по сравнению с ранними версиями BPFDoor, что значительно усложняет их выявление.
Ключевые изменения в архитектуре BPFDoor
Ранее BPFDoor использовал сокеты типа SOCK_RAW, однако в обновленной версии этот канал коммуникации отсутствует. Вместо него вредоносное ПО применяет только сокеты SOCK_UDP, при этом оно продолжает обрабатывать «пробуждающие» пакеты, поступающие по протоколам ICMP, UDP и TCP.
- Отказ от SOCK_RAW: уменьшает вероятность обнаружения традиционными IDS, которые ориентируются на RAW-сокеты.
- Использование только SOCK_UDP: снижает подозрительность в сетевом трафике.
- Обработка пакетов ICMP, UDP и TCP: сохраняет способность DPFDoor оперативно получать управляющие сигналы.
Изменения в методах маскировки и работе с файловой системой
Одна из наиболее заметных трансформаций — отказ от использования режима работы без файлов. В предыдущих версиях BPFDoor копировал себя в /dev/shm, запускался оттуда и затем удалял следы с диска, чтобы усложнить анализ. Текущая версия не взаимодействует с этой временной файловой системой и сохраняет свое присутствие на диске, функционируя как обычный процесс.
Кроме того, изменена тактика маскировки:
- Ранее имена процессов выбирались случайно из заранее определённого списка распространённых названий.
- Сейчас используется фиксированное имя процесса и настраиваются пути к файлам блокировки мьютексов, что позволяет лучше интегрироваться в целевую систему.
Эти изменения существенно усложняют выявление BPFDoor классическими методами, которые основываются на поиске по именам процессов или типам сокетов.
Обновления в механизмах шифрования и сетевом фильтре
Разработчики BPFDoor улучшили механизм транспортного шифрования, добавив встроенный SSL-сертификат, что обеспечивает высокий уровень конфиденциальности передаваемых данных. Это затрудняет перехват и анализ коммуникаций вредоносного ПО.
Также длина BPF (Berkeley Packet Filter) увеличена до 229 байт, что способствует повышению скрытности фильтра на сетевом уровне.
Рекомендации для аналитиков по обнаружению нового BPFDoor
С учётом изменений методологии работы вредоносного ПО, аналитикам по кибербезопасности следует пересмотреть свои подходы к обнаружению:
- Рекомендуется сосредоточиться на мониторинге непредвиденных процессов с открытыми исходящими сокетами вместо поиска RAW-сокетов.
- Необходимо анализировать использование сокетов типа SOCK_UDP и подозрительный сетевой трафик по протоколам ICMP, UDP и TCP.
- Особое внимание стоит уделять процессам с фиксированными признаками маскировки и отсутствием работы через временные файловые системы.
Таким образом, обновлённый BPFDoor демонстрирует эволюцию в способах обхода средств безопасности, делая обнаружение значительно более сложным. Эта тенденция подтверждает необходимость постоянного обновления методов анализа и адаптации стратегий защиты.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
Оригинал публикации на сайте CISOCLUB: "Эволюция BPFDoor: новые методы обхода киберзащиты и маскировки".
Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.
Подписывайтесь на нас: VK | Rutube | Telegram | Дзен | YouTube | X.