Um grupo associado à China está usando malware furtivo para espionagem em redes de telecomunicações, mantendo acesso prolongado a ambientes estratégicos. A campanha é atribuída ao cluster Red Menshen. As operações são reportadas com foco em operadoras no Oriente Médio e na Ásia desde 2021, com objetivo de alcançar redes governamentais conectadas a essas infraestruturas.
O componente central é o BPFDoor, backdoor para Linux que atua com baixo ruído. Diferente de malwares comuns, ele não deixa portas abertas nem canais visíveis de comando e controle. Em vez disso, utiliza a funcionalidade Berkeley Packet Filter para inspecionar tráfego no kernel e é ativado apenas quando recebe um pacote especialmente preparado.
A cadeia de ataque começa pela exploração de infraestrutura exposta à internet, como appliances de VPN, firewalls e plataformas web de fabricantes como Ivanti, Cisco, Juniper Networks, Fortinet, VMware, Palo Alto Networks e Apache Struts. Após o acesso inicial, invasores implantam frameworks como CrossC2, Sliver, TinyShell, além de keyloggers e utilitários de força bruta para coletar credenciais e promover movimentação lateral.
Segundo a apuração, o controlador pode operar dentro do ambiente da vítima, disfarçando-se como processo legítimo e acionando novos implants em hosts internos. Esse recurso amplia a capacidade de movimentação lateral sem chamar atenção e facilita a preservação de persistência em redes críticas por longos períodos.
Entre na conversa da comunidade