BPF RekoobeとAVERATはどのような攻撃手法を使いますか？

A. 複数の手法を組み合わせて潜伏や検知回避を図ります。

本キャンペーンでは、Linux環境を狙うBPF RekoobeやAVERATなどが使用されています。

これらは、標的となる環境で使われる製品や一般的なサービス名にプロセスを偽装します。

また、通常の待受ポートを開かず、特定の通信を受け取ったときだけバックドアを起動する仕組みも使われています。攻撃者との通信では、メール送信に使われるSMTPの25番ポートや、一般的なWeb通信に見せかける手法も確認されています。

さらにAVERATでは、実行後にディスク上のファイルを短時間で削除し、プロセスだけをメモリ上で動かし続けます。

正規の機能やポートの悪用、標的環境に合わせた偽装、ファイルを残さない実行を組み合わせている点が特徴と言えます。

---

👉 詳細のブログはこちら

BPF RekoobeとAVERAT：SMTP通信とBPFを隠れ蓑にするバックドア https://constella-sec.jp/blog/hobokomo-securitynews/tips-1295/