وكشفت شركة Rapid 7 هذا الأسبوع عن أساليبهم السرية.
اكتشف كيف يفعلون ذلك وكيف يمكنك كشفهم.
باب خلفي (Backdoor) متطور يعمل على أنظمة لينكس، اكتشفته Rapid7 Labs واستخدمته مجموعة قرصنة مرتبطة بالصين تعرف باسم Red Menshen لاختراق أنظمة الاتصالات (Telecom) والبنية التحتية الحكومية. ما يميزه هو أنه لا يترك أثراً واضحاً ويعمل بصمت تام.
🔥 كيف يعمل؟ (العبقرية الشريرة)
1. يعيش في نواة النظام (Kernel Level): يستغل ميزة مشروعة في لينكس تسمى Berkeley Packet Filter (BPF) ، المصممة لتحليل حزم الشبكة. لكنه يستخدمها لـ اعتراض كل الحزم الواردة قبل أن تصل لجدار الحماية (iptables/nftables).
2. الانتظار السلبي (Passive Listening): لا يفتح منافذ شبكة مرئية، ولا ينشئ قناة تحكم واتصال (C2) صاخبة. يبقى كامناً تماماً، مما يجعله صعب الاكتشاف.
3. الحزمة السحرية (Magic Packet): لا يستجيب إلا لحزمة شبكة واحدة مصممة خصيصاً تحتوي على نمط معين (مثل حرف 'X' قبل عنوان IP المهاجم). هذه الحزمة تشبه "المفتاح السحري" الذي يوقظ الباب الخلفي.
4. الاستجابة العكسية (Reverse Shell): عندما تصل الحزمة السحرية، يفتح الباب الخلفي اتصال شيل عكسي (Reverse Shell) إلى خادم المهاجم، مما يمنحه وصولاً كاملاً للنظام بدون أي منفذ مفتوح أو سجل اتصال واضح.
🛡️ كيف تكتشفه؟
· Rapid7 أصدروا سكريبت كشف مخصص (rapid7_detect_bpfdoor.sh). يقوم بفحص العمليات المشبوهة التي قد تشير لسلوك BPFdoor.
· المفتاح الأساسي هو معرفة السلوك الطبيعي للنظام والبحث عن انحرافات طفيفة عنه.
📝 خطوات عملية من المقال لفهم الآلية:
1. التثبيت: استنساخ أداة POC من GitHub (git clone https://github.com/pjt3591oo/bpfdoor.git).
2. التكوين: تحديد IP الضحية والمهاجم في ملف trigger.c (مع رمز سحري X).
3. التشغيل: تشغيل الباب الخلفي على الضحية (./bpfdoorpoc) – يبدو معلقاً، وهذا متوقع.
4. التحضير: فتح مستمع (Listener) على المنفذ المتفق عليه (nc -lvnp 4444).
5. الإطلاق: تشغيل المُشغّل (./trigger) الذي يرسل الحزمة السحرية.
6. الاختراق: تظهر الشيل العكسية مباشرة، ويصبح النظام تحت السيطرة.
https://hackers-arise.com/compromising-telecom-systems-deploying-and-detecting-the-bpfdoor-backdoor/







