新聞

資安業者Rapid7於10月2日揭露一批鎖定網路邊緣環境的Linux惡意程式，其中發現6個Linux後門程式AVERAT的樣本被部署於臺灣網路環境中的設備。進一步分析還發現，一款用來部署AVERAT的惡意安裝程式，疑似專為攻擊ShareTech（眾至資訊）設備打造。此外，研究人員還從AVERAT組態中找到3臺分別位於臺南、板橋與桃園的受害設備，這些設備遭入侵後，被攻擊者進一步利用為AVERAT的中繼基礎設施。

以用來部署AVERAT的惡意安裝程式而言，Rapid7指出，這是一個不具網路連線功能的x86-64 ELF檔案，研判是在攻擊者已取得設備存取權限後才執行，主要用途是將AVERAT部署至受害設備。值得注意的是，該程式以「ShareTech」字串衍生AES加密金鑰，且本身位於設備的附加套件目錄，Rapid7因此認為，這款惡意安裝程式疑似針對ShareTech（眾至資訊）設備開發。執行後，該程式會將自身及AVERAT分別複製至 /sbin，偽裝成 ntpdate及udevds執行，並在10秒後刪除檔案；即使檔案遭刪除，相關程序仍會持續在記憶體中執行，使檔案型偵測較難發現。

在AVERAT後門程式方面，Rapid7發現，它會透過TCP 25埠及SMTP通訊隱藏C2流量，先送出EHLO並要求STARTTLS，之後才建立自己的加密通訊。由於郵件安全閘道原本就需要向外建立SMTP連線，若僅從網路流量紀錄觀察，這類惡意通訊可能與正常郵件流量難以區分。AVERAT約每600至699秒向C2伺服器回報一次，可蒐集主機名稱、目前使用者、作業系統版本、網路介面及登入使用者等資訊，並具備檔案上傳下載、列舉及終止程序、開啟互動式Shell、重新啟動設備，以及建立Proxy與連接埠轉送通道等功能。

除了AVERAT本身的運作方式，Rapid7還進一步追查其使用的基礎設施。研究人員從AVERAT組態中找到3個位於臺灣的IP位址，並判定這些IP位址所對應的都是遭入侵的第三方設備，而非攻擊者自行架設的伺服器。這3臺設備全部位於中華電信HiNet的AS3462網路，分別位於臺南、板橋及桃園，遭入侵的設備涵蓋某臺灣燃料零售業者的一臺Synology NAS、一臺ADSL／FTTH中小企業網路設備，以及一臺Dahua DH-XVR5116HS-I3網路錄影設備。Rapid7指出，這些設備具有可從網際網路直接連線、未修補、缺乏監控，而且不太可能接受安全稽核等共同特徵，因此遭攻擊者利用為隱蔽的中繼基礎設施。

此外，這3臺設備雖然分屬NAS、中小企業網路設備及錄影設備等不同產品類型，卻都對外開放TCP 1723埠的PPTP服務，而且回傳完全相同的服務特徵。奇怪的是，其中的Dahua網路錄影設備本身並未提供PPTP伺服器，Synology DSM可透過額外安裝套件而提供PPTP功能，但預設並未啟用，目前版本也已淘汰這項功能，因此Rapid7研判，這些PPTP服務很可能是攻擊者後來加裝。若此判斷成立，這些受害設備除了可作為中繼節點，處理AVERAT偽裝成SMTP的對外通訊，也可能成為攻擊者連入設備所在內部網路的VPN據點。Rapid7並指出，這類NAS、網路邊緣設備及DVR的運用方式，符合中國背景隱蔽中繼網路（ORB）常見的設備類型，但目前沒有發現其基礎設施或入侵指標與任何已知ORB網路重疊，因此尚無法據此將這波活動歸因於特定已知ORB網路。

除了前述與臺灣有關的AVERAT揭露，Rapid7這次完整研究其實還涵蓋另外兩項重要發現，整體可歸納為三大重點：除了部署於臺灣設備的AVERAT及其惡意程式安裝程式，還有新發現的BPFDoor後門程式變種，以及出現在南韓目標環境的BPF Rekoobe後門程式。這些惡意程式雖然運作方式與目標環境不同，卻有一項明顯共通點：會根據目標設備原有的軟體及使用情境調整偽裝手法，例如南韓相關樣本會冒充SpamSniper等當地環境既有的程序，而AVERAT相關程式則出現ShareTech字串及設備特定路徑。

Rapid7也特別強調SMTP在這次研究中的重要性，因為相關攻擊活動都會利用TCP 25埠，讓惡意通訊混入設備原本就會出現的SMTP流量，只是採取方式不同。以AVERAT而言，它會先建立SMTP連線、送出EHLO並要求STARTTLS，之後才進行自己的加密C2通訊；南韓的BPF Rekoobe則利用郵件安全設備本來就會允許的TCP 25流量接收觸發封包。從Rapid7此次研究發現可以看出，攻擊者不只會針對不同地區與設備環境調整偽裝方式，也會利用目標設備原本就會出現的正常通訊作為掩護，增加惡意活動被辨識的難度。

對於Rapid7發現疑似鎖定ShareTech設備的情資，我們也進一步詢問眾至資訊是否已注意到此事。眾至今日回覆表示，Rapid7報告主要分析惡意程式在產品系統中的運作機制，並未說明攻擊者最初如何取得設備存取權限。針對報告提及的惡意程式，眾至進一步說明，指出目前ShareTech Mail Server已內建異常檔案及執行中程式的檢查機制，可比對設備中是否出現異常檔案或程序；如發現異常，除了進行處理，也會在管理介面顯示警示，並可依系統設定透過電子郵件通知使用者，再由使用者聯繫眾至研發團隊進一步檢查。

眾至並表示，目前已透過設備內部檢查機制掌握Rapid7報告提及的相關程式，並針對相關問題進行處理。該公司也會持續進行產品安全測試與掃描，如發現安全問題，將定期發布更新。