GTPDOOR-malware richt zich op Linux-systemen
Cyberonderzoekers hebben een nieuw geïdentificeerde Linux-malware ontdekt, GTPDOOR genaamd, die speciaal is ontworpen voor inzet in de buurt van GPRS-roaming-exchanges (GRX) binnen telecomnetwerken. Deze malware onderscheidt zich met name door gebruik te maken van het GPRS Tunneling Protocol (GTP) voor zijn command-and-control (C2)-communicatie.
Met GPRS-roaming kunnen abonnees toegang krijgen tot GPRS-diensten buiten het dekkingsgebied van hun mobiele thuisnetwerk, bereikt door een GRX die roamingverkeer via GTP transporteert tussen het bezochte en eigen Public Land Mobile Network (PLMN).
Beveiligingsonderzoeker Haxrob, die twee GTPDOOR-artefacten heeft ontdekt die vanuit China en Italië naar VirusTotal zijn geüpload, suggereert een waarschijnlijk verband tussen de achterdeur en een bekende bedreigingsacteur genaamd LightBasin (ook bekend als UNC1945). CrowdStrike maakte deze acteur in oktober 2021 bekend voor het orkestreren van aanvallen op de telecomsector om abonneegegevens te stelen en metadata op te roepen.
GTPDOOR in actie
Bij uitvoering initieert GTPDOOR een wijziging van de procesnaam, vermomd als '[syslog]', aangeroepen vanuit de kernel. Vervolgens onderdrukt het kindsignalen en brengt het een ruwe socket tot stand, waardoor het implantaat UDP-berichten kan ontvangen die van invloed zijn op de netwerkinterfaces.
In wezen zorgt GTPDOOR ervoor dat een bedreigingsacteur met gevestigde persistentie op het roaming-uitwisselingsnetwerk kan communiceren met een gecompromitteerde host door GTP-C Echo Request-berichten te verzenden die een kwaadaardige lading bevatten. Dit gespecialiseerde GTP-C Echo Request-bericht functioneert als een kanaal om opdrachten over te brengen voor uitvoering op de geïnfecteerde machine, en de resultaten terug te sturen naar de externe host.
De onderzoeker benadrukt dat GTPDOOR discreet kan worden onderzocht vanaf een extern netwerk, waarbij een reactie kan worden uitgelokt door een TCP-pakket naar een willekeurig poortnummer te sturen. Als het implantaat actief is, wordt een vervaardigd leeg TCP-pakket geretourneerd, samen met informatie over of de bestemmingspoort open was of reageerde op de host.
