▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- 2 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
- Betrifft KRITIS-nahe Branche: telekommunikation+5
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
- 2 im Text genannte CVE(s) liegen uns nicht vor und gehen nicht in die Bewertung ein: CVE-2023-2868, CVE-2023-7102
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Linux Backdoors Impersonate Email Security Tools to Evade Detection in Korea and Taiwan
Linux-Backdoors, darunter neue Varianten von BPFDoor und AVERAT, tarnen sich als E-Mail-Sicherheitstools wie SpamSniper und ShareTech, um in Telekommunikations- und Netzwerkgeräten in Südkorea und Taiwan unentdeckt zu bleiben. Betroffen sind Unternehmen, die diese Sicherheitsprodukte nutzen. Es wird empfohlen, auf ungewöhnliche Prozessnamen und Netzwerkaktivitäten zu achten und die Systeme auf diese spezifischen Bedrohungen zu überprüfen.
SecBoard-Einordnung
Diese Backdoors können die Erkennung umgehen, indem sie sich als legitime Software ausgeben, was zu anhaltendem unbefugtem Zugriff und potenziellen Datenlecks führen kann. Die gezielte Ausrichtung auf Telekommunikations- und Netzwerkgeräte deutet auf ein hohes Risiko für kritische Infrastrukturen hin.
Realistisch schlimmster Fall: Anhaltender, unentdeckter Zugriff auf kritische Telekommunikations- und Netzwerkgeräte, der zur vollständigen Kompromittierung von Systemen, Datenexfiltration oder zur Nutzung der Infrastruktur für weitere Angriffe führen kann.
Empfehlung: Überprüfen Sie Systeme auf ungewöhnliche Prozessnamen und Netzwerkaktivitäten, insbesondere solche, die sich als E-Mail-Sicherheitstools oder Oracle-Prozesse ausgeben. Implementieren Sie robuste Erkennungsmaßnahmen und aktualisieren Sie die Sicherheitslösungen.
Im erfassten Bestand
- ▸6. erfasste Meldung zu UNC3886 innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
Im Text genannt, liegt uns aber noch nicht vor.
Im Text genannt, liegt uns aber noch nicht vor.
Betroffen
Unternehmen, die E-Mail-Sicherheitstools wie SpamSniper und ShareTech oder Oracle-Prozesse in Telekommunikations- und Netzwerkgeräten in Südkorea und Taiwan verwenden.
Prüfen
3- ▸Überprüfen Sie Systemprotokolle auf ungewöhnliche Prozessnamen, die sich als SpamSniper, ShareTech oder Oracle-Prozesse ausgeben.
- ▸Analysieren Sie den Netzwerkverkehr auf unerwartete ausgehende Verbindungen von Telekommunikations- und Netzwerkgeräten.
▸ 1 weitere▾ weniger
- ▸Führen Sie eine Dateisystemprüfung auf unbekannte ausführbare Dateien oder Bibliotheken in Verzeichnissen durch, die typischerweise von legitimen E-Mail-Sicherheitstools oder Oracle verwendet werden.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Die genauen Angriffsvektoren für die Erstinfektion sind im Artikel nicht spezifiziert.
- ▸Die spezifischen Funktionen der AVERAT-Backdoor über die Tarnung hinaus sind nicht detailliert.
- ▸Es gibt keine Informationen über die Urheber der Angriffe oder deren Motivation.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
- Haben wir Oracle extern erreichbar?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Linux backdoors ... impersonate Email Security Tools to Evade Detection“
„unusual ... network activities“
„Linux backdoors ... impersonating email security tools ... to evade detection“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.