In Zuid-Korea en Taiwan zijn Linux-achterdeurtjes waargenomen die hun eigen gedrag vermommen als “normale” e-mail gerelateerde software en legitieme processen. Daarmee proberen aanvallers detectie te ontlopen bij securityteams die vooral zoeken naar bekende malwarepatronen of ongebruikelijke netwerkstromen. Rapid7 stelt dat deze Linux backdoors niet alleen bestandsnamen nabootsen, maar ook identiteit lenen van e-mailsecurityproducten die in enterprise-omgevingen veel gebruikt worden.
Wat dit extra relevant maakt voor organisaties met telecom- en edge-apparatuur: de aanvallen richten zich op plekken waar beveiligingslogica en netwerkverkeer samenkomen. Daardoor kan een compromis blijven hangen, terwijl de aanvaller op afstand commando’s uitvoert en gegevens probeert te verzamelen.
Waarom Linux backdoors zich voordoen als e-mail security
Threat actors gebruiken al langer vermommingen om analyses te vertragen. In deze gevallen gaat het om meerdere lagen van “regionalized disguise”: de malware blijkt bewust te weten welke software en naamgevingen draaien op het doelwit. Zo worden proces- en bestandsconventies aangepast aan wat men in de regio doorgaans verwacht.
Concreet worden Linux implantaten gekoppeld aan het nadoen van componenten van e-mailbeveiligingsoplossingen. Daarbij gaat het niet alleen om een naam die op een werkelijke binary lijkt. In plaats daarvan nemen de samples identiteiten aan die passen bij gangbare securitytools binnen telecom- en netwerkomgevingen.
SpamSniper en ShareTech als vermomming
Rapid7 beschrijft dat delen van de malware refereren aan e-mailsecurityproducten zoals SpamSniper en ShareTech. SpamSniper wordt door een vendor gepositioneerd als een toonaangevende oplossing tegen spam, malware en aanvallen op servers. De samples bevatten varianten zoals een BPFDoor-build en een BPF Rekoobe-implant die in Zuid-Koreaanse omgevingen zijn gezien.
Voor Taiwan wordt een eerder niet gerapporteerde Linux implant genoemd: AVERAT. Die wordt geleverd via een dropper die op zijn beurt in een add-on pakketstructuur van een appliance belandt.
De kerntechniek: BPF-gebaseerde triggers en netwerkverkeer
Een belangrijk technisch onderdeel is het misbruik van Berkeley Packet Filter (BPF)-functionaliteit. Daarmee kan de malware incoming netwerkverkeer bekijken op laag 4 en pas actief worden onder specifieke voorwaarden. Daardoor lijkt de backdoor in veel situaties “stil” totdat hij een exacte trigger waarneemt.
Rapid7 noemt dat de aanvallers statische signatures (zoals Suricata/Snort) probeerden te omzeilen. Nadat beveiligingssoftware netwerkpatronen had vastgelegd voor eerdere varianten, verplaatsen de aanvallers zich volgens het rapport richting edge-proxies.
Magic packet en HTTPS POST met SSL-offloading
Bij de BPFDoor-varianten draait het om het detecteren van een “magic packet”. Bovendien kan de trigger worden verpakt in reguliere HTTPS POST-requests. In omgevingen waar SSL offloading gebruikelijk is—iets dat bij telecomvoorzieningen vaak voorkomt—kan de trigger het geïnfecteerde systeem bereiken op een manier die conventionele deep packet inspection lastiger maakt.
Het resultaat is dat de malware minder opvalt bij portscans en netwerkchecks, omdat hij niet continu “chat” of elke verdachte verbinding initieert. Pas bij de juiste omstandigheden gaat hij aan.
Procesnamen en daemon-rotatie als extra verdedigingslaag
Naast netwerktriggers gebruikt de malware meerdere camouflagemechanismen op hostniveau. In Zuid-Korea worden BPFDoor-varianten gekoppeld aan het imiteren van PID-bestanden die bij SpamSniper horen. Ook wordt volgens Rapid7 een set aan Linux daemon-namen doorlopen—in elk geval tot tien varianten—toenemende variatie in de vermomming.
Dit werkt verdedigend: als een analyst met een snelle inspectie zoekt naar een “verdachte naam”, kan een proces of dienst lijken alsof het gewoon onderdeel is van de bestaande omgeving. Bovendien helpt het om checks op vaste IOC’s te frustreren.
Nabootsing van Oracle-achtige process naming
In een ander onderdeel van de activiteit wordt de procesnaam gezet op ora_ppmond. Dat verwijst naar een naming-conventie rond Oracle Database-processen, met name naar “ora_pmon_*”, de Process Monitor achtergrondprocessen. Daarmee schuift de camouflage niet alleen richting e-mailsecurity, maar ook richting telecomplatforms die koppelingen met databases of provisioningcomponenten kunnen hebben.
TinyShell en modulaire logica voor remote controle
Wanneer de BPFDoor-samples geactiveerd worden, starten ze een TinyShell-sessie. Deze component ondersteunt interactieve shell-functionaliteit en maakt acties zoals uploaden en downloaden mogelijk. Rapid7 noemt dat TinyShell eerder ook is toegeschreven aan clusters met focus op telecomnetwerken en edge devices.
De backdoor werkt daarbij als een modulair raamwerk: hij past zijn gedrag aan aan het telecomlaagprofiel van het doel. Daardoor worden componenten zoals TinyShell en Rekoobe geïntegreerd om exfiltratie en command execution te ondersteunen.
Rekoobe: BPF-interceptie op specifieke poorten
Naast BPFDoor is ook een Rekoobe-gebaseerde BPF backdoor gezien. Die onderschept TCP/UDP/SCTP IPv4 en UDP IPv6 verkeer, met als randvoorwaarde dat bron- en bestemmingspoorten gelijk zijn aan 25. Daarmee wordt SMTP-achtige routing en observatie benut als onderdeel van de controle- en triggerlogica.
Ook hier geldt: de processen worden gekoppeld aan naming van SpamSniper. Zo versterkt de malware de illusie dat alles bij het normale e-mailverkeer hoort.
Dropper en AVERAT: C2 via SMTP-achtige communicatie
De Taiwanese campagne levert AVERAT via een ELF dropper. Deze werkt als een lokale installer voor de implant. Rapid7 beschrijft dat de dropper een encryptiesleutel afleidt uit de string “ShareTech” om daarna een versleuteld shellscript te ontsleutelen en uit te voeren.
Vervolgens stageert het script twee bestanden: één dat de eigenlijke dropper vertegenwoordigt (genaamd ntpdate) en één die de AVERAT payload bevat (udevds). Daarna worden beide bestanden korte tijd later verwijderd.
Polling op TCP-poort 25
AVERAT benadert periodiek een C2-server via TCP-poort 25. Het interval ligt tussen 600 en 699 seconden. De serverdetails en het exacte interval worden uit een versleutelde configuratie gehaald.
De communicatie is bewust ontworpen om onder de radar te blijven, doordat de malware de rol en timing van e-mailgerelateerd verkeer benadert. Volgens Rapid7 past dit bij het gebruik van SMTP om zowel commando’s te ontvangen als verdachte activiteit te camoufleren.
Command codes en bediening op afstand
De backdoor ondersteunt een reeks command codes waarmee hij onder andere directory-inhoud kan enumereren, bestanden kan downloaden met resume-ondersteuning en bestanden in chunks kan uploaden. Ook kan hij recursief bestanden en mappen verwijderen of directories aflopen.
Daarnaast noemt het rapport opties voor het enumereren van processen met command lines, het beëindigen van processen (SIGTERM) en runtime updates van tabellen met C2 host en poorten. Er is ook functionaliteit voor interactieve shell-sessies, het openen van proxy of port-forward kanalen, en het herstarten van de appliance.
Ten slotte worden ook plug-in achtige uitbreidingen genoemd: het laden of lossen van gedeelde modules (*.so) om de functionaliteit uit te breiden.
Wat je kunt checken in je omgeving
De onderzoeksresultaten leiden tot praktische aanbevelingen. Organisaties wordt aangeraden om onverwachte raw packet sockets en BPF filters op Linux-systemen te beoordelen die geen packet capture nodig hebben. Ook is het belangrijk om uitgaande verbindingen op TCP-poort 25 te auditen van processen die niet als maildienst te verklaren zijn.
Verder adviseert Rapid7 om te scannen op processen die zich voordoen als gangbare daemons. Tot slot: beperk managementtoegang tot routers, DVR’s en andere edge-apparaten, omdat daar vaak de grootste aanvalsroutes samenkomen.
Let extra op: “normale” processen met afwijkend gedrag
Camouflage werkt het best wanneer een procesnaam op zichzelf onschuldig lijkt. Daarom helpt het om niet alleen op bestandsnamen of procesnamen te sturen, maar ook op gedrag: onverwachte netwerkfilters, verkeer op poorten die je niet verwacht, en periodieke outbound polling die niet past bij e-mailservices.
Breder plaatje: inzet via beveiligingsgateway-positie
Rapid7 plaatst de bevindingen in een groter kader: aanvallers kunnen de bevoorrechte positie van secure email gateways (SEGs) benutten voor intelligence collection. Dat maakt het aantrekkelijk om C2 en triggers te laten lijken op communicatiepatronen die securityteams sowieso al nauwlettend volgen.
In eerdere observaties—zoals bij een China-nexus dreigingsactor die in 2023 Barracuda Email Security Gateway (ESG) compromitteerde via bekende kwetsbaarheden—werd ook persistentie en backdoortechniek gecombineerd met camouflaged communicatie.
Link met processpoofing en credentieel-dreigingen
Hoewel dit artikel focust op Linux backdoors en netwerkcamouflage, past de aanpak inhoudelijk binnen een breder patroon dat we vaker zien: aanvallers proberen het werk van defenders te bemoeilijken door zich “legitiem” voor te doen. Daarmee nemen de kans en snelheid van een volgende stap toe, bijvoorbeeld via misbruik van toegang of het omzeilen van controlemechanismen.
Als je wilt verdiepen hoe social engineering en vermomming tot credential misuse kan leiden, lees dan ook social engineering herkennen in live gesprekken. En voor context rond aanvallen die securitypoorten gebruiken om activiteit te verbergen, kan ClickFix dataproxy via browsercache: hoe werkt het? extra kleur geven aan het “verstoppen in het normale” denken.
Conclusie
De gerapporteerde campagnes laten zien hoe Linux backdoors detectie kunnen omzeilen door een combinatie van processpoofing, BPF-gebaseerde triggers en SMTP-achtige communicatie. In plaats van simpelweg een verdacht bestand op een server te zetten, wordt de aanval afgestemd op wat er draait: namen, conventies en netwerkpatronen die in de regio en sector logisch aanvoelen.
Voor defenders betekent dit vooral: kijk verder dan bestands- en procesnamen. Auditeer BPF-gebruik waar het niet nodig is, controleer uitgaand verkeer op TCP-poort 25 van niet-mailprocessen en beperk managementtoegang tot edge-apparaten. Alleen zo voorkom je dat een backdoor “stil” blijft totdat hij precies genoeg ziet om geactiveerd te worden.
Bron: https://thehackernews.com/2026/10/linux-backdoors-impersonate-email.html
