GTPDOOR Malware retter sig mod Linux-systemer
Cyber-efterforskere har opdaget en nyligt identificeret Linux-malware ved navn GTPDOOR, specielt udviklet til implementering i nærheden af GPRS-roaming-udvekslinger (GRX) inden for telekommunikationsnetværk. Denne malware udmærker sig især ved at bruge GPRS Tunneling Protocol (GTP) til sin kommando-og-kontrol-kommunikation (C2).
GPRS-roaming gør det lettere for abonnenter at få adgang til GPRS-tjenester uden for deres hjemmemobilnetværks dækningsområde, opnået gennem en GRX, der transporterer roamingtrafik via GTP mellem det besøgte og det offentlige landmobilnetværk (PLMN).
Sikkerhedsforsker haxrob, der afslørede to GTPDOOR-artefakter uploadet til VirusTotal fra Kina og Italien, foreslår en sandsynlig forbindelse mellem bagdøren og en kendt trusselsaktør ved navn LightBasin (alias UNC1945). CrowdStrike afslørede denne skuespiller i oktober 2021 for at orkestrere angreb på telekommunikationssektoren for at stjæle abonnentoplysninger og opkaldsmetadata.
GTPDOOR i aktion
Ved udførelse påbegynder GTPDOOR en ændring af procesnavnet, der forklæder sig selv som '[syslog]' påkaldt fra kernen. Det undertrykker derefter børnesignaler og etablerer en rå socket, hvilket gør det muligt for implantatet at modtage UDP-meddelelser, der påvirker netværksgrænsefladerne.
I bund og grund tillader GTPDOOR en trusselsaktør med etableret vedholdenhed på roamingudvekslingsnetværket at kommunikere med en kompromitteret vært ved at sende GTP-C Echo Request-meddelelser, der indeholder en ondsindet nyttelast. Denne specialiserede GTP-C Echo Request-meddelelse fungerer som en kanal til at formidle kommandoer til udførelse på den inficerede maskine, og sender resultaterne tilbage til den eksterne vært.
Forskeren fremhæver, at GTPDOOR diskret kan undersøges fra et eksternt netværk, hvilket fremkalder et svar ved at sende en TCP-pakke til et hvilket som helst portnummer. Hvis implantatet er aktivt, returneres en udformet tom TCP-pakke sammen med oplysninger om, hvorvidt destinationsporten var åben eller svarede på værten.
