韓国・台湾の通信インフラを狙うLinuxバックドアが判明、正規メール保護ツールに偽装して検知回避

要点

• 韓国と台湾の通信事業者やネットワーク機器を狙う複数のLinuxバックドアが確認された。

• セキュリティ企業Rapid7の調査により、現地のメールセキュリティ製品や正規プロセスへの偽装工作が判明した。

• パケット解析機能を悪用する「BPFDoor」の新亜種や「Rekoobe」派生型、未報告の「AVERAT」が特定された。

• 攻撃者はHTTPS通信での隠蔽やSSL復号処理を悪用し、従来のネットワーク監視をすり抜けていた。

• サイバーセキュリティ企業のRapid7は2026年10月、韓国および台湾の電気通信事業者やネットワーク機器を標的とする新たなLinuxバックドアの活動を確認したと報告した。攻撃者は検知を免れるため、両地域の企業環境で広く普及しているメールセキュリティ製品の名称や正規デーモンに偽装していたという。

標的地域のセキュリティ製品や正規プロセスを模倣

マルウェアがOSコンポーネントの名を騙る手口は防御回避策として一般的だが、Rapid7が解析した検体は実在するセキュリティ製品の識別情報を借用していた。

韓国ではJiran Groupのスパム・マルウェア対策製品「SpamSniper」のPID（OSがプロセスを識別・管理する番号）ファイルを模倣し、10種類のLinuxデーモン名を切り替えて潜伏していた。台湾では同地域で広く使われている「ShareTech」製品への偽装が確認されている。

また別の検体では、プロセス名に「ora_ppmond」を設定していた。これはOracle Databaseのバックグラウンド処理「PMON（Process Monitor）」の命名規則を模したもので、Oracle製品を基盤とする通信事業者の加入者管理基盤に紛れ込む狙いがあったとみられる。

新種のBPFDoorやAVERATなど複数の不正プログラムを展開

確認された検体には、韓国向けの「BPFDoor」新亜種や「Rekoobe」ベースのビルド、台湾の機器にドロッパー（他の不正プログラムを端末内に送り込んで実行させるマルウェア）経由で展開された未報告の「AVERAT」が含まれていた。

BPFDoorは、パケット処理機能「BPF（Berkeley Packet Filter）」を悪用して通信を監視し、特定の「マジックパケット」（起動トリガー信号）を受信した際のみ活動する。起動後は「TinyShell」セッションを通じて対話型シェルやファイル送受信機能を提供し、標的の通信環境に適応するモジュール型フレームワークとして機能しているという。

また、ポート25（電子メール転送用ポート）のIPv4・IPv6通信を傍受するRekoobe派生型も観測され、こちらもSpamSniperの構成要素を騙っていた。

エッジプロキシを狙う高度な検知回避策

今回の解析では、防御側の検知技術に対抗して攻撃手法が改良されている実態も浮き彫りになった。

セキュリティベンダーがネットワーク監視用のシグネチャを作成してトランスポート層での異常検知を可能にしたことを受け、攻撃者は境界のエッジプロキシへと標的を移行させた。起動用マジックパケットを標準的なHTTPS POSTリクエスト内に格納し、通信事業者で一般的なSSLオフロード（暗号化通信の復号を一括処理する仕組み）を利用して配送している。これにより、通信内容まで精査するディープパケットインスペクション（DPI）をすり抜けて感染端末へ到達させていた。

中国関連の脅威グループとの関連性

BPFDoorは、2021年以降中東やアジアの通信事業者を標的にしてきた中国関連の脅威グループ「Red Menshen」（別名：Earth Bluecrow、DecisiveArchitect、Red Dev 18）との関連が指摘されている。

また、今回組み込まれていたTinyShellについても、Liminal PandaやUNC3886（Fire Ant）、Velvet Antといった、通信網やネットワーク機器を狙う他の中国関連グループでの使用例が確認されている。

補足

標的環境に合わせた固有の偽装工作と、カーネルレベルのパケット処理を悪用する手口が組み合わさることで、潜在的な脅威の特定を極めて困難にしている。