針對南韓與台灣電信及網路設備的 Linux 惡意程式，已將其流量偽裝成電子郵件服務及看似合法的程序，以融入環境並躲避偵測。
威脅行為者已知會將惡意軟體命名為合法的作業系統元件或程序，作為防禦規避措施。透過借用真實二進位檔案的名稱，可能使其在其他 Windows 程序中顯得不那麼顯眼，賦予其虛假的信任感，或在隨意檢查時被分析師忽略。
然而，Rapid7 所檢查的後門程式，已被發現超越了模仿檔案名稱的層級，它們冒充了在南韓與台灣企業環境中廣泛使用的 SpamSniper 和 ShareTech 等電子郵件安全產品的身分。
根據供應商 Jiran Group 的說法，SpamSniper 被宣傳為「韓國領先的電子郵件安全解決方案」，可保護組織免受垃圾郵件、惡意軟體和伺服器攻擊。
惡意成品包括一種新的 BPFDoor 變種和一個用於南韓目標的 BPF Rekoobe 版本，以及一個先前未報導的 Linux implant，名為 AVERAT，它透過一個 dropper 傳遞並部署於台灣的設備上。
Rapid7 表示：「針對南韓系統看到的 BPFDoor 變種，模仿了 SpamSniper（一種韓國反垃圾郵件產品）的 PID 檔案，並在十個 Linux daemon 名稱之間輪換。」「在所有樣本中，每個元件都採用了旨在使其在目標環境中看起來不起眼的名稱和慣例。」
BPFdoor 及其眾多迭代版本是 Rapid7 今年稍早進行廣泛分析的主題，其活動與一個被稱為 Red Menshen（又名 Earth Bluecrow、Decisive Architect 和 Red Dev 18）的威脅組織有關，該組織自 2021 年以來一直針對中東和亞洲的電信供應商。
總體而言，BPFDoor 利用 Berkeley Packet Filter (BPF) 功能來檢查傳入的網路流量，並僅在偵測到魔術封包時才啟動其行為。偵測到新的 BPFDoor 版本，表明該惡意軟體背後的威脅行為者正在積極改進和重新整備其武器庫，以應對公開披露。
Rapid7 表示：「一旦安全廠商編寫了靜態網路簽章（Suricata/Snort）來偵測這些 Layer 4 的異常，營運者就開始針對邊緣代理伺服器。」「透過將魔術封包包裝在標準 HTTPS POST 請求中，並依賴電信環境中常見的 SSL 卸載，觸發器可以傳遞到感染了 BPFDoor 的節點，從而可能規避傳統的深度封包檢測。」
一旦觸發，BPFDoor 樣本就會啟動一個 TinyShell 會話，並支援用於互動式 shell、上傳和下載功能的命令。有趣的是，TinyShell 的使用先前已被歸因於中國關聯的群組，如 Liminal Panda、UNC3886（又名 Fire Ant）和 Velvet Ant，這些群組都曾專門針對電信網路和邊緣設備。
Rapid7 解釋說：「這些樣本顯示 BPFDoor 作為一個模組化框架運作，能夠適應其目標的電信層，整合 TinyShell 和 Rekoobe 的邏輯來支援資料滲漏。」
在與該活動結合觀察到的還有一個基於 Rekoobe 的 BPF 後門，它會攔截 TCP/UDP/SCTP IPv4 和 UDP IPv6 流量，其來源和目的地連接埠均為 25。此外，它將其程序命名為 SpamSniper 元件的名稱。
在重疊的攻擊活動中觀察到的 dropper 是一個 ELF 二進位檔案，它充當 AVERAT 的本地安裝程式。AVERAT 是一個模組化 implant，它使用 Simple Mail Transfer Protocol (SMTP) 進行命令與控制 (C2) 並掩蓋其惡意活動。
ELF dropper 位於 ShareTech 設備的「/addpkg/sbin/」附加套件目錄中，它透過從字串「ShareTech」衍生其加密金鑰，然後使用該金鑰解密一個負責準備和執行兩個二進位檔案的 shell 腳本：「ntpdate」，這是 dropper 本身；以及「udevds」，這是 AVERAT payload。這兩個檔案會在 10 秒後被刪除。
AVERAT 每隔 600 到 699 秒透過 TCP 連接埠 25 定期輪詢一個 C2 伺服器（「mx.zxopfds[.]com」）。伺服器詳細資訊和信標間隔是從加密的配置中提取的。該後門支援長串命令代碼，包括 -
根據 Rapid7 的說法，AVERAT 的 C2 基礎設施與通常與 Operational Relay Box (ORB) 網路相關的設備類別配置檔相符，儘管沒有證據表明它是任何已知 ORB（如 LapDogs（又名 UAT-7810）、SPACEHOP 和 FLORAHOX）的一部分。
建議組織審查不需要封包擷取的 Linux 系統上的意外原始封包套接字和 BPF 過濾器，稽核非郵件服務程序的出站 TCP 連接埠 25 連接，掃描偽裝成常見 daemon 的程序，並限制對路由器、DVR 和其他邊緣設備的管理存取權。
這些發現證明了威脅行為者如何利用安全電子郵件閘道 (SEG) 的特權位置進行情報蒐集。在 2023 年，一個代號為 UNC4841 的中國關聯威脅行為者被觀察到利用 Barracuda Email Security Gateway (ESG) 設備的兩個不同漏洞（CVE-2023-2868 和 CVE-2023-7102）來傳遞持久性後門。
該網路安全公司表示：「共同點是區域化偽裝：每個樣本都了解目標系統上運行的供應商軟體，並相應地實施程序欺騙。」「被動式 BPF implant 規避傳統的連接埠掃描；而外連信標則隱藏在普通的 DNS、TCP 和流量中，威脅行為者正在利用 SMTP 來保持低調。」
