« New Stealthy Variant of BPFDoor Linux Backdoor Discovered » (Nouvelle variante furtive de la porte dérobée Linux BPFDoor découverte)

Selon un récent rapport technique de la société de cybersécurité Deep Instinct, une nouvelle variante de la porte dérobée Linux, BPFDoor, a été découverte. Ce logiciel malveillant est connu pour être extrêmement difficile à détecter et a été associé à un acteur chinois de la menace appelé Red Menshen. Ce groupe aurait ciblé des fournisseurs de télécommunications au Moyen-Orient et en Asie depuis au moins 2021.

BPFDoor est une porte dérobée Linux passive qui établit un accès distant persistant à un système compromis. Pour ce faire, le virus analyse et filtre le trafic réseau sur les machines Linux afin de détecter les interactions avec le réseau et de traiter les nouvelles commandes à l’aide de Berkeley Packet Filters(BPF). Le blocage du trafic superflu permet aux attaquants d’exécuter des programmes arbitraires sans que l’antivirus ne le détecte.

La dernière version de BPFDoor est encore plus évasive que les précédentes car elle supprime les indicateurs codés en dur. En revanche, il comprend un shell inversé pour l’interaction de commande et de contrôle (C2) et un module de décryptage intégré(libtomcrypt). En outre, le virus ignore plusieurs alertes du système d’ exploitation pour éviter d’être supprimé.

L’artefact BPFDoor que Deep Instinct a utilisé pour faire ses découvertes a été publié sur VirusTotal le 8 février 2023. À l’heure actuelle, seules trois sociétés de sécurité ont qualifié le fichier ELF de nuisible. Toutefois, étant donné la capacité du logiciel malveillant à rester caché pendant de longues périodes, il est probable qu’il ait été utilisé dans des attaques qui n’ont pas été détectées.

Le fait que BPFDoor soit resté caché pendant longtemps témoigne de sa sophistication. Elle souligne le besoin croissant de protection contre les logiciels malveillants ciblant les systèmes Linux, qui sont répandus dans les entreprises et les environnements en nuage.

En réponse à cette menace, Google a annoncé le développement d’un nouveau cadre d’analyse approfondie du filtre de paquets de Berkeley (eBPF) appelé Buzzer. Ce cadre contribuera au renforcement du noyau Linux et garantira la légitimité et la sécurité des programmes exécutés dans des contextes protégés.