Linux システムを標的とする GTPDOOR マルウェア

サイバー捜査官は、GTPDOOR という名前で新たに特定された Linux マルウェアを検出しました。これは、通信ネットワーク内の GPRS ローミング交換局 (GRX) の近くに展開するように特別に設計されています。特に、このマルウェアは、コマンド アンド コントロール (C2) 通信に GPRS トンネリング プロトコル (GTP) を利用することで区別されます。

GPRS ローミングにより、加入者はホーム モバイル ネットワークのカバレッジ エリア外で GPRS サービスに簡単にアクセスできます。これは、訪問先とホームの Public Land Mobile Network (PLMN) 間で GTP 経由でローミング トラフィックを転送する GRX によって実現されます。

中国とイタリアから VirusTotal にアップロードされた 2 つの GTPDOOR アーティファクトを発見したセキュリティ研究者の haxrob 氏は、バックドアと LightBasin (別名 UNC1945) という名前の既知の脅威アクターとの関連性の可能性を示唆しています。クラウドストライクは、この攻撃者が加入者情報と通話メタデータを盗むために通信分野への攻撃を組織したとして、2021年10月に明らかにした。

GTPDOOR の動作

実行すると、GTPDOOR はプロセス名の変更を開始し、カーネルから呼び出された '[syslog]' として偽装します。次に、子信号を抑制し、生のソケットを確立して、インプラントがネットワーク インターフェイスに影響を与える UDP メッセージを受信できるようにします。

本質的に、GTPDOOR は、ローミング交換ネットワーク上で確立された永続性を持つ攻撃者が、悪意のあるペイロードを含む GTP-C エコー リクエスト メッセージを送信することによって、侵害されたホストと通信することを可能にします。この特殊な GTP-C エコー リクエスト メッセージは、感染したマシン上で実行するコマンドを伝達するパイプとして機能し、結果をリモート ホストに送り返します。

研究者は、GTPDOOR が外部ネットワークから慎重に調査され、任意のポート番号に TCP パケットを送信して応答を引き出すことができることを強調しています。インプラントがアクティブな場合は、宛先ポートが開いているか、ホスト上で応答しているかに関する情報とともに、細工された空の TCP パケットが返されます。