Нова мащабна кампания за кибершпионаж е насочена към глобалните телекомуникационни мрежи, като се свързва с групата Red Menshen. Според анализи на Rapid7, атакуващите не просто проникват в системи, а изграждат дългосрочно присъствие в критична инфраструктура, което може да позволи наблюдение на цели общества.

BPFDoor – почти невидимият бекдор на ниво ядро

В основата на кампанията стои зловредният инструмент BPFDoor – бекдор за Linux, който работи на ниво ядро чрез технологията Berkeley Packet Filter.

Неговите ключови характеристики го правят изключително опасен:

• не отваря портове и не генерира подозрителен трафик
• остава в пасивно състояние, докато не бъде активиран
• използва специално подготвени пакети за комуникация
• заобикаля традиционните системи за мониторинг

Това позволява на атакуващите да останат невидими за продължителни периоди, което значително увеличава риска от дългосрочен шпионаж.

Достъп до комуникационния гръбнак на обществото

След успешна компрометация, атакуващите могат да получат достъп до:

• данни за абонати
• сигнализационни потоци
• метаданни от комуникации
• потенциално правителствени комуникации

Според експерти, това означава, че атакуващият не просто компрометира една организация, а се позиционира в комуникационния слой на цели държави.

Глобален обхват на атаките

Кампанията има ясно изразен международен характер:

• атаки срещу интернет доставчици в САЩ
• компрометиране на телекомуникационни компании, включително Viasat
• инциденти в Канада
• множество пробиви в Европа, включително оператори като:
  • Orange
  • Bouygues Telecom
  • Free Mobile
  • Odido

Кампанията се свързва и с по-широкия клъстер от операции, известен като Salt Typhoon.

От атаки към стратегическо позициониране

Според Rapid7, това не са изолирани инциденти, а координирана стратегия за дългосрочно внедряване.

Ключовата промяна в подхода е:

• от „пробив и изтегляне на данни“
• към „присъствие и контрол на инфраструктурата“

Това позволява:

• продължително наблюдение
• събиране на разузнавателна информация
• потенциална възможност за прекъсване на комуникации

Hовото лице на държавно подкрепения кибершпионаж

Тази кампания показва еволюция в кибероперациите:

• инфраструктурата се превръща в основна цел
• атаките стават по-невидими и устойчиви
• фокусът е върху дългосрочен достъп, а не бърза печалба

Подобни операции са особено опасни, защото:

• трудно се откриват
• могат да останат активни с години
• засягат критични услуги и национална сигурност