🔍 Мене сьогодні реально зачепила історія з новими Linux-бекдорами в телеком-обладнанні Кореї й Тайваню. BPFDoor, BPF-версія Rekoobe та свіжий AVERAT маскуються під легітимні SpamSniper і ShareTech, сидять прямо в поштових шлюзах і маршрутизаторах і користуються BPF та керуванням через SMTP 📨 — трафік виглядає як звичайна пошта.

По суті, це «привиди» в мережі: BPFDoor/Rekoobe прокидаються лише на «магічний» пакет, AVERAT регулярно стукає на C2 через порт 25. Найгірше, що процеси називаються майже як системні демони (типу orappmond, ntpdate, udevds), і якщо не дивитися уважно — взагалі не помітиш_ ⚠️.

Якби я зараз відповідав за інфру, я б зробив три речі 🧪: жорстко обмежив вихідні TCP-підключення на 25 для всього, крім поштових серверів; пробігся по процесах, що прикидаються SpamSniper/Oracle/ntpdate на шлюзах; перевірив приховані BPF-фільтри й сирі сокети на периферійних Linux-апаратах. А ви свій порт 25 давно перевіряли чи це ще з категорії «якось потім»?

🛡️

🔗 Докладніше:
https://cybersecurefox.com/uk/linux-bekdory-email-bezopasnost-koreya-tayvan

#кібератаки #інформаційнабезпека #linux #телеком #blue #team #soc

CyberSecureFox