Эволюция BPFDoor: новые методы обхода киберзащиты и маскировки

Последний отчет кибербезопасности выявил существенные изменения в поведении вредоносного ПО BPFDoor, направленные на обход существующих механизмов обнаружения. После инцидента со взломом крупного телекоммуникационного провайдера в апреле 2025 года исследователи получили доступ к новым образцам вредоносного кода. Эти образцы демонстрируют серьёзные отличия в архитектуре и тактиках по сравнению с ранними версиями BPFDoor, что значительно усложняет их выявление.

Ключевые изменения в архитектуре BPFDoor

Ранее BPFDoor использовал сокеты типа SOCK_RAW, однако в обновленной версии этот канал коммуникации отсутствует. Вместо него вредоносное ПО применяет только сокеты SOCK_UDP, при этом оно продолжает обрабатывать «пробуждающие» пакеты, поступающие по протоколам ICMP, UDP и TCP.

• Отказ от SOCK_RAW: уменьшает вероятность обнаружения традиционными IDS, которые ориентируются на RAW-сокеты.
• Использование только SOCK_UDP: снижает подозрительность в сетевом трафике.
• Обработка пакетов ICMP, UDP и TCP: сохраняет способность DPFDoor оперативно получать управляющие сигналы.

Изменения в методах маскировки и работе с файловой системой

Одна из наиболее заметных трансформаций — отказ от использования режима работы без файлов. В предыдущих версиях BPFDoor копировал себя в /dev/shm, запускался оттуда и затем удалял следы с диска, чтобы усложнить анализ. Текущая версия не взаимодействует с этой временной файловой системой и сохраняет свое присутствие на диске, функционируя как обычный процесс.

Кроме того, изменена тактика маскировки:

• Ранее имена процессов выбирались случайно из заранее определённого списка распространённых названий.
• Сейчас используется фиксированное имя процесса и настраиваются пути к файлам блокировки мьютексов, что позволяет лучше интегрироваться в целевую систему.

Эти изменения существенно усложняют выявление BPFDoor классическими методами, которые основываются на поиске по именам процессов или типам сокетов.

Обновления в механизмах шифрования и сетевом фильтре

Разработчики BPFDoor улучшили механизм транспортного шифрования, добавив встроенный SSL-сертификат, что обеспечивает высокий уровень конфиденциальности передаваемых данных. Это затрудняет перехват и анализ коммуникаций вредоносного ПО.

Также длина BPF (Berkeley Packet Filter) увеличена до 229 байт, что способствует повышению скрытности фильтра на сетевом уровне.

Рекомендации для аналитиков по обнаружению нового BPFDoor

С учётом изменений методологии работы вредоносного ПО, аналитикам по кибербезопасности следует пересмотреть свои подходы к обнаружению:

• Рекомендуется сосредоточиться на мониторинге непредвиденных процессов с открытыми исходящими сокетами вместо поиска RAW-сокетов.
• Необходимо анализировать использование сокетов типа SOCK_UDP и подозрительный сетевой трафик по протоколам ICMP, UDP и TCP.
• Особое внимание стоит уделять процессам с фиксированными признаками маскировки и отсутствием работы через временные файловые системы.

Таким образом, обновлённый BPFDoor демонстрирует эволюцию в способах обхода средств безопасности, делая обнаружение значительно более сложным. Эта тенденция подтверждает необходимость постоянного обновления методов анализа и адаптации стратегий защиты.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.