当前位置：首页 - 正文

...成都火绒企业版」针对Linux系统 BDFdoor新变种可绕过防火墙

发布网友发布时间：2024-05-08 23:27

共1个回答

热心网友时间：2024-05-31 13:17

火绒企业版Linux防护揭秘：BDFdoor新变种的防火墙绕行策略

近期，火绒安全实验室在Linux系统领域发现了一款新型后门病毒——BDFdoor变种，它巧妙地利用Berkeley Packet Filter（BPF）嗅探技术，成功突破了防火墙的防线。这款针对Linux和Solaris系统的后门，凭借其隐蔽性和高度绕过机制，对网络安全构成了一定威胁。

火绒安全产品已经针对这一威胁进行了拦截与查杀，企业用户需保持病毒库的更新，以应对这种新型威胁。BPF提供了一个内核级别的网络数据包过滤框架，其工作在底层网络接口，使得病毒能够以超低权限嗅探所有网络流量，从而在防火墙之外执行指令。

样本行为分析

在样本运行的初期，它会对权限和已启动状态进行多重检查，确认后门的唯一性，通过检查/var/run/haldrund.pid文件来标记其存在。在满足条件后，后门会复制自身到/dev/shm目录并使用--init参数执行，以实现内存中的隐蔽运行并删除启动文件。

接着，后门利用Linux内存目录的高效性，持续监控流量，尽管样本已删除执行文件，但进程列表中仍有其痕迹。通过清除环境变量，伪装成系统守护程序，以及设置后台运行，确保其流程的闭环与隐藏。

流量捕获与分析

病毒进入流量分析阶段，通过原始套接字（SOCK_RAW）和AF_PACKET，以root权限在链路层捕获所有网络流量，无论目标端口或协议。它对每条数据包进行验证，找到预设的magic_packet结构后，会根据其flag标志、IP、Port等信息启动子进程执行不同操作，如RC4加密通信或调整iptables规则建立C&C连接。

在本次变种中，BPF过滤器的设置有显著改变，尽管起始处的过滤器看似无效，但其后续依赖于IP协议字段。对于TCP协议，病毒会根据特定标志调整magic_packet的位置，而对UDP和ICMP则保持固定位置。

检测与应对策略

识别这类BDFdoor变种的关键在于其利用BPF过滤器的行为。通过ss -0pb命令检查加载了BPF过滤器的进程，如显示有大量BPF指令的可疑程序，可能就是样本。此外，监控/dev/shm内存目录活动，以及haldrund.pid文件的存在，都是识别后门的重要线索。

总的来说，火绒企业版提供了强大的防护措施，及时应对BDFdoor变种的威胁。企业用户务必保持警惕，提升安全防护意识，确保网络安全防线的稳固。

声明：本网页内容为用户发布，旨在传播知识，不代表本网认同其观点，若有侵权等问题请及时与本网联系，我们将在第一时间删除处理。
E-MAIL:11247931@qq.com