El malware GTPDOOR se dirige a sistemas Linux
Los investigadores cibernéticos han detectado un malware de Linux recientemente identificado llamado GTPDOOR, diseñado específicamente para su implementación cerca de los intercambios de roaming GPRS (GRX) dentro de las redes de telecomunicaciones. En particular, este malware se distingue por utilizar el protocolo de túnel GPRS (GTP) para sus comunicaciones de comando y control (C2).
La itinerancia GPRS facilita a los suscriptores el acceso a servicios GPRS fuera del área de cobertura de su red móvil local, lo que se logra mediante un GRX que transporta tráfico itinerante a través de GTP entre la red móvil terrestre pública (PLMN) visitada y la local.
El investigador de seguridad haxrob, que descubrió dos artefactos GTPDOOR subidos a VirusTotal desde China e Italia, sugiere una probable conexión entre la puerta trasera y un conocido actor de amenazas llamado LightBasin (también conocido como UNC1945). CrowdStrike reveló a este actor en octubre de 2021 por orquestar ataques al sector de las telecomunicaciones para robar información de suscriptores y metadatos de llamadas.
GTPDOOR en acción
Tras la ejecución, GTPDOOR inicia una modificación del nombre del proceso, disfrazándose de '[syslog]' invocado desde el kernel. Luego suprime las señales secundarias y establece un conector sin formato, lo que permite que el implante reciba mensajes UDP que afectan las interfaces de red.
En esencia, GTPDOOR permite que un actor de amenazas con persistencia establecida en la red de intercambio de roaming se comunique con un host comprometido enviando mensajes de solicitud de eco GTP-C que contienen una carga útil maliciosa. Este mensaje especializado de solicitud de eco GTP-C funciona como un conducto para transmitir comandos para su ejecución en la máquina infectada, transmitiendo los resultados al host remoto.
El investigador destaca que GTPDOOR se puede sondear discretamente desde una red externa, provocando una respuesta enviando un paquete TCP a cualquier número de puerto. Si el implante está activo, se devuelve un paquete TCP vacío elaborado, junto con información sobre si el puerto de destino estaba abierto o respondiendo en el host.
