[KISA] BPFDoor 악성코드 점검 가이드 - SKT USIM 정보 유출 사고 관련

BPFDoor 악성코드 점검 가이드

 

1. 개요

- 최근 BPFDoor 악성코드 감염 사례가 발견됨에 따라, 기업 내 보안 담당자가 스스로 감염 여부를 점 검하고 조기에 대응할 수 있도록 본 문서를 작성하였습니다.

 

- 본 문서는 악성코드의 특성을 분석하여, 단순한 침해 지표(IOC) 검색만으로는 확인하기 어려운 감염 흔적까지 점검할 수 있도록 가이드를 제공합니다.

 

 

2. BPFDoor 악성코드란?

 

리눅스 환경에서 포트를 열지 않고 외부 연결을 대기하는 백도어 악성코드

- 위협 행위자의 매직패킷(Magic Packet) 수신 시 셸 연결

> 리버스셸(Reverse Shell), 다이렉트 모드(바인드셸, Bind Shell) 연결

> 명령에 따라 원격지(Remote)와 셸 연결

 

- BPF 기술을 악용하여 네트워크 트래픽 필터 설정

> 필터 대상 : TCP, UDP, ICMP 프로토콜

> 감염 시스템에 합법적으로 열린 포트(정상 서비스) 대상 매직패킷 전송

 

 BPF(Berkeley Packet Filter)
운영체제 커널 수준에서 동작하는 네트워크 패킷 필터링 기술
네트워크 인터페이스를 통과하는 패킷을 복사하여 필터링
네트워크 성능 향상과 보안 기능 강화를 위한 목적으로 사용

 

 

3. BPFDoor 감염 여부 점검 방법

 

- 악성코드 뮤텍스/락(Mutex/Lock) 파일 점검

- 악성코드 자동 실행 파일 점검

- BPF(Berkeley Packet Filter) 점검 (가이드 內 ‘[붙임1] BPF 점검 스크립트’ 활용)

- RAW 소켓 사용 점검

- 프로세스 환경변수 점검 (가이드 內 ‘[붙임2] 환경변수 점검 스크립트’ 활용)

- 특정 포트 확인 및 네트워크 장비를 이용한 패킷 점검

 

 

4. BPFDoor 컨트롤러 감염여부 점검 방법

- 실행 중인 프로세스 명 점검

 

 

5. 악성 의심 파일에 대한 추가 점검 방법

- 문자열 기반 초동 점검

- YARA* Rule 기반 점검 (가이드 內 ‘[붙임3] BPFDoor YARA Rule’ 활용)

* 악성 파일을 시그니처 기반으로 판별 및 분류 할 수 있게 하는 툴

 

6. 대응방안

o 첨부된 점검 가이드를 참고하여 자체적으로 보안점검 후, 침입흔적 및 침해사고가 확인되면 보호나라를 통해 침해사고 즉시 신고

 

https://www.boho.or.kr/kr/bbs/view.do?bbsId=B0000133&pageIndex=1&nttId=71754&menuNo=205020

KISA 보호나라&KrCERT/CC

 

250512_KISA_BPFDoor_악성코드_점검_가이드.pdf

1.38MB

 

 

---

 

[금융보안] 안전한 소프트웨어를 위한 시큐어코딩의 이해 - 시큐어코딩, SQL인젝션, URL파라미터 조작, 보안취약점, 보안약점, COQ절감, 시큐어소프트웨어

[금융보안] 안전한 소프트웨어를 위한 시큐어코딩의 이해 - 시큐어코딩, SQL인젝션, URL파라미터

 

제로트러스트 가이드라인 2.0 - KISA 한국인터넷진흥원

제로트러스트 가이드라인 2.0 - KISA 한국인터넷진흥원

 

[보안] 12. 악성코드 대응전략 프로세스 - 정책, 인식, 취약성 완화, 위협 완화, 방어 아키텍처, 침해사고대응 프로세스

[보안] 12. 악성코드 대응전략 프로세스 - 정책, 인식, 취약성 완화, 위협 완화, 방어 아키텍처, 침