Malware GTPDOOR tem como alvo sistemas Linux
Os investigadores cibernéticos detectaram um malware Linux recém-identificado chamado GTPDOOR, projetado especificamente para implantação próximo a centrais de roaming GPRS (GRX) em redes de telecomunicações. Notavelmente, este malware se distingue por utilizar o GPRS Tunneling Protocol (GTP) para suas comunicações de comando e controle (C2).
O roaming GPRS facilita aos assinantes o acesso aos serviços GPRS fora da sua área de cobertura da rede móvel doméstica, conseguido através de um GRX que transporta o tráfego de roaming via GTP entre a Rede Móvel Terrestre Pública (PLMN) visitada e a doméstica.
O pesquisador de segurança haxrob, que descobriu dois artefatos GTPDOOR carregados no VirusTotal da China e da Itália, sugere uma provável conexão entre o backdoor e um conhecido ator de ameaça chamado LightBasin (também conhecido como UNC1945). CrowdStrike denunciou este ator em outubro de 2021 por orquestrar ataques ao setor de telecomunicações para roubar informações de assinantes e metadados de chamadas.
GTPDOOR em ação
Após a execução, GTPDOOR inicia uma modificação do nome do processo, disfarçando-se como '[syslog]' invocado pelo kernel. Em seguida, ele suprime os sinais secundários e estabelece um soquete bruto, permitindo que o implante receba mensagens UDP que impactam as interfaces de rede.
Em essência, o GTPDOOR permite que um agente de ameaça com persistência estabelecida na rede de intercâmbio em roaming se comunique com um host comprometido enviando mensagens de solicitação de eco GTP-C contendo uma carga maliciosa. Essa mensagem especializada de solicitação de eco GTP-C funciona como um canal para transmitir comandos para execução na máquina infectada, transmitindo os resultados de volta ao host remoto.
O pesquisador destaca que o GTPDOOR pode ser sondado discretamente a partir de uma rede externa, obtendo uma resposta enviando um pacote TCP para qualquer número de porta. Se o implante estiver ativo, um pacote TCP vazio criado será retornado, juntamente com informações sobre se a porta de destino estava aberta ou respondendo no host.
