✅ レポートタイトル：韓国企業を対象としたマルウェア「BPFDoor」に関する詳細分析

S2W脅威インテリジェンスセンター「TALON」では、最近韓国企業を対象に流布されたマルウェア「BPFDoor」に関する詳細分析レポートを公開します。

本レポートは、マルウェア「BPFDoor」の詳細な動作原理と、検知と対応のための方法をご確認頂けるレベルの高い脅威インテリジェンスレポートです。

✅ レポートの要約：

1）S2Wの脅威研究およびインテリジェンスセンター「TALON」は最近、韓国企業を対象に流布されたマルウェア「BPFDoor」を確認し、これに対する分析を行いました。

2) マルウェア「BPFDoor」は「BPF(Berkeley Packet Filter)」技術を悪用し、高度化された隠蔽性と検出回避機能を通じてLinuxシステム内の長期隠蔽を目指すマルウェアです。

- マルウェア「BPFDoor」は、リバースシェル接続とコマンドの実行をサポートするバックドアマルウェアで、TCP / UDP / ICMPプロトコルを介して非標準通信を実行します。
- 通信時にフィルターで定義されたマジックシーケンスを活用して通常のトラフィックに隠蔽し、ポート開放なしでパケット受信が可能に設計されています。

3) マルウェア「BPFDoor」は Berkeley Packet Filter (BPF) を悪用してカーネルレベルで特定のトリガーパケットのみを受信し、229件のBPF Instruction Set を使用します。

- 「BPFDoor」のバージョンによっては、Instruction Setの数とマジックシーケンスが一部異なって表示されます。
- プロセス名の偽装とデーモン化、メモリベースのレプリケーションと実行隠蔽、履歴のブロックなど、さまざまなアンチ・フォレンジック技術を適用します。

4）マルウェア「BPFDoor」は2021年にPwCによって最初に命名されたマルウェアであり、中国が支援するAPTグループ「Earth Bluecrow（Red Menshen）」による使用が確認されました。

- 現在まで、「Earth Bluecrow」以外のグループによって使用された状況は発見されておらず、通信パターンと使用されたマジックシーケンス（0x5293、0x39393939、0x7255）が一貫して現れました。
- 攻撃者は横方向の移動と長期の隠蔽のために「BPFDoor」を継続的に利用することが分析されています。