Le logiciel malveillant GTPDOOR cible les systèmes Linux
Les cyber-enquêteurs ont détecté un malware Linux récemment identifié nommé GTPDOOR, spécialement conçu pour être déployé à proximité des échanges d'itinérance GPRS (GRX) au sein des réseaux de télécommunications. Ce malware se distingue notamment en utilisant le protocole de tunneling GPRS (GTP) pour ses communications de commande et de contrôle (C2).
L'itinérance GPRS permet aux abonnés d'accéder aux services GPRS en dehors de la zone de couverture de leur réseau mobile domestique, grâce à un GRX transportant le trafic itinérant via GTP entre le réseau mobile terrestre public (PLMN) visité et domestique.
Le chercheur en sécurité haxrob, qui a découvert deux artefacts GTPDOOR téléchargés sur VirusTotal depuis la Chine et l'Italie, suggère un lien probable entre la porte dérobée et un acteur malveillant connu nommé LightBasin (alias UNC1945). CrowdStrike a révélé cet acteur en octobre 2021 pour avoir orchestré des attaques contre le secteur des télécommunications afin de voler les informations sur les abonnés et les métadonnées des appels.
GTPDOOR en action
Lors de l'exécution, GTPDOOR initie une modification du nom du processus, se déguisant en « [syslog] » invoqué depuis le noyau. Il supprime ensuite les signaux enfants et établit un socket brut, permettant à l'implant de recevoir des messages UDP impactant les interfaces réseau.
Essentiellement, GTPDOOR permet à un acteur malveillant ayant une persistance établie sur le réseau d'échange itinérant de communiquer avec un hôte compromis en envoyant des messages GTP-C Echo Request contenant une charge utile malveillante. Ce message spécialisé GTP-C Echo Request fonctionne comme un canal pour transmettre les commandes à exécuter sur la machine infectée, transmettant les résultats à l'hôte distant.
Le chercheur souligne que GTPDOOR peut être discrètement sondé à partir d'un réseau externe, suscitant une réponse en envoyant un paquet TCP à n'importe quel numéro de port. Si l'implant est actif, un paquet TCP vide contrefait est renvoyé, accompagné d'informations indiquant si le port de destination était ouvert ou répondait sur l'hôte.
