BPF RekoobeとAVERAT：SMTP通信とBPFを隠れ蓑にするバックドア｜ブログ(ほぼこもセキュリティニュース)

ネットワークエッジ機器（通信機器、セキュリティアプライアンス、CCTV/DVRなどの組み込み機器）および通信事業者を標的とした最新の攻撃キャンペーンが確認されています。
本攻撃群では、Linux環境を狙う既存の高度バックドア「BPFDoor」の新型バリエーション、「BPF Rekoobe」、および新種のモジュール型インプラント「AVERAT」が使用されています。
これらは主に台湾や韓国などの地域における特定ベンダーの製品環境（SpamSniperへの成りすましやShareTech環境向け構造など）やソフトウェア環境を巧妙に偽装し、ネットワークエッジに位置する機器へ潜伏・永続化を図ります。
攻撃者は、プロキシを介したHTTPSトンネリング、SMTP（TCP 25番ポート）のカモフラージュ、BPF（Berkeley Packet Filter）技術、およびファイルレス実行技術を組み合わせることで、従来のポートスキャンやセキュリティ監視（IDS/IPS/EDR）を回避する高度なステルス性を備えています。
特徴的な部分をみてみましょう。

地域・ターゲット固有製品への巧妙な成りすまし（Regionalized Disguise）
攻撃ツールは、標的組織（韓国や台湾の通信事業者・アプライアンス環境）で稼働する特定のセキュリティ製品やサービス名を識別し、自身のプロセス名や一時ファイルを偽装します。
- 具体例
  - 韓国環境を狙うBPFDoorバリエーションは、韓国で広く使われているスパム対策製品「SpamSniper」のPIDファイル（/var/run/spamsniper.pid）や排他制御メカニズムを偽装・悪用します。
  - その他、[watchdogd]、/usr/sbin/chronyd、/usr/sbin/crond などの一般的なLinuxデーモン名に偽装して動きます。
BPF（Berkeley Packet Filter）を利用した受動的待機と受信検知の回避
BPFDoorやBPF Rekoobeは、LinuxカーネルレベルのBPF（PF_PACKET ソケット）を利用してネットワークパケットを直接監視します。
- 効果
  攻撃者が送信する特定の「マジックバイト（固有のパケットパターン）」を受信したときのみバックドアが開通します。
  対象サーバ側で通常のリスニングポート（Listen状態）を開く必要がないため、外部からの一般的なポートスキャンやネットワーク調査では存在を一切検知できません。
プロキシおよびHTTPS POSTを介したトリガー送信（HTTP/HTTPSトンネリング）
従来のBPFDoorはレイヤー4（TCP/UDP）の固定マジックバイトに依存しており、Suricata等のシグネチャで検知されるケースが増えていました。
最新のコントローラーでは、HTTPS POSTリクエスト内（dogetlogin 関数など）にトリガーパケットを埋め込んで送信する手法へ進化しています。
- 効果
  ネットワークエッジのプロキシサーバやSSLオフロード環境を通過する際、標準的なWebリクエスト（例: /admin/login.aspx へのリクエスト）に見せかけるとともに、プロキシによるヘッダー変更（パケットオフセットのズレ）を計算したパディングを行うことで、ディープパケットインスペクション（DPI）や境界防御を突破してバックドアを起動します。
SMTP（TCP 25番ポート）通信のカモフラージュ
攻撃者はコマンド＆コントロール（C2）通信やビーコン通信に、通常メール送信に用いられる TCP 25番ポート（SMTP）を積極的に悪用しています。
- 効果
  インフラ機器や通信事業者において25番ポートのトラフィックは日常的に許容されていることが多いため、異常な通信としてアラートが上がりにくく、正常なインフラ通信の中に潜伏（ステルス化）することが可能になります。
10秒間の「ファイルレス」実行と監視プロセス（Dropper & Watchdog）
台湾のアプライアンス機器等を狙う「AVERAT」などの展開フェーズでは、ドロッパー（Dropper）がシェルスクリプトをアプライアンスのストレージ上に書き込んで実行します。
- 仕組み
  スクリプトはペイロードとドロッパー自身（監視役のウオッチドッグとして再実行）を /sbin 直下に ntpdate や udevds といった正規ツール名で展開・起動した後、実行開始からわずか10秒以内にディスク上のファイルを削除します。
- 効果
  プロセス自体はメモリ上で実行され続けますが、ディスク上にファイル実体（On-disk image）が残らないため、従来のディスクスキャン型アンチウイルスや静的解析による検知を無効化します。

本キャンペーンで確認された攻撃手法は、単一の新技術によるものではなく、「正規機能・正規ポートの悪用」「特定ターゲットへの徹底した偽装」「ファイルレスによる足跡消去」を高度に組み合わせたエッジインフラ攻撃の典型例といえます。
防御側としては次のような対策が期待されます。

IP/ポート単位の監視からの脱却
単にTCP 25番ポート（SMTP）が許可されているかどうかの確認だけでは不十分です。
「通常メールサーバとして動作していないエッジ機器からの25番ポート通信」や「不審なプロセスの発生」を相関分析する必要があります。
ネットワークアプライアンス・組み込み機器の保護強化
CCTV、DVR、セキュリティアプライアンスなどのエッジ機器はEDRの導入が難しく盲点になりがちですが、攻撃者にとってはインフラ深部へ侵入するための絶好の足がかり（ORBインフラ等）となります。
メモリ・プロセスレベルの異常検知
プロセス名の偽装（prctl / PR_SET_NAME による偽装）や、ディスク上に実体を持たないメモリ常駐プロセスの挙動、不審なBPFソケットの作成を追跡できるログおよび監査（auditd 等）の整備が推奨されます。

SMTP is the key: BPFDoor and AVERAT hitting the network edge
https://www.rapid7.com/blog/post/tr-smtp-is-the-key-bpfdoor-averat-hitting-the-network-edge/