BPFdoor：隐形Linux恶意软件绕过防火墙进行远程访问

最近发现的一种名为 BPFdoor 的后门恶意软件已经悄悄地针对 Linux 和 Solaris 系统，五年多来一直没有被发现。

BPFdoor 是一个 Linux/Unix 后门，它允许攻击者远程连接到 Linux shell 以获得对受感染设备的完全访问权限。

该恶意软件不需要打开端口，无法被防火墙阻止，并且可以响应来自网络上任何 IP 地址的命令，使其成为企业间谍活动和持续攻击的理想工具。

解析“魔术”数据包

BPFdoor 是一个被动后门，这意味着它可以在一个或多个端口上侦听来自一个或多个主机的传入数据包，攻击者可以使用这些端口将命令远程发送到受感染的网络。

该恶意软件使用 Berkeley Packet Filter（后门名称中的 BPF），它在网络层接口上工作，能够查看所有网络流量并将发送数据包发送到任何目的地。

由于定位在如此低的级别，BPF 不遵守任何防火墙规则。

它有适用于 Linux 和 Solaris SPARC 系统的版本，但它也可以移植到 BSD，BleepingComputer 从 Sandfly Security 的创始人 Craig Rowland 那里了解到，该公司提供无代理解决方案来保护 Linux 系统。

安全研究员 Kevin Beaumont在 BPFdoor 上发表了 一篇博文，他告诉 BleepingComputer，操作员使用“魔法”密码来控制植入物的行为。

BPFdoor 仅解析 ICMP、UDP 和 TCP 数据包，检查它们的特定数据值，以及后两种数据包的密码。

BPFDoor 的突出之处在于它可以监视任何端口的魔术包，即使这些端口被其他合法服务使用，例如网络服务器、FTP 或 SSH。