SKTハッキングマルウェアBPFDoorの分析とPLURA-XDR対応戦略（検出デモ映像付き）

BPFDoorは、eBPFフィルタ・マジックバイト・マルチプロトコルを利用して、“パケット痕跡ゼロ”に近い**ポートレス（backdoor）**状態を実現します。従来のアプローチでは検出されません。このような検出回避を破るには、メモリ実行・AF_PACKETソケット・iptables改ざんといった行動シグナルを交差分析する必要があります。

1️⃣ BPFDoor概要

2️⃣ 動作メカニズム整理

① マジックバイト＆マルチプロトコル

• トリガー → 0x7255（TCP/UDP）・0x5293（ICMP）のマジックバイト受信時のみ作動
• 対応プロトコル → TCP・UDP・ICMPすべて許可
• 許可ポート → 22/80/443など一般的サービスポートを再利用 → ポートスキャン回避

② RC4暗号化・パスワード認証

struct magic_packet {
    unsigned int flag;
    in_addr_t    ip;
    unsigned short port;
    char pass[14];   // "justforfun"などハードコード
};

• pass の値が内部キーと一致する必要があり、セッションが確立される
• RC4ストリームによって入出力がリアルタイムで暗号化・復号化される
• SKTハッキング事件で使用されたと推定されるBPFDoorのパスワード部分

③ 隠蔽・持続化手法

📊 シーケンス図 — 全体フロー

sequenceDiagram
    %% Participants
    participant Attacker
    participant HSS
    participant Kernel/eBPF as eBPF
    participant BPFDoor
    participant Host OS as OS

    %% ① マジックバイト & マルチプロトコル
    Attacker->>HSS: 通常スキャン・パケット<br/>(マジックバイトなし)
    HSS-->>Attacker: 応答なし（ポートレス状態）
    Attacker->>HSS: Magic Packet 0x7255 (TCP/UDP, 22/80/443)
    Attacker->>HSS: Magic Packet 0x5293 (ICMP)
    HSS->>eBPF: パケットを転送
    eBPF-->>BPFDoor: マジックバイト一致 → 有効化

    %% ② RC4暗号化・パスワード認証
    BPFDoor->>BPFDoor: magic_packet構造体をパース<br/>passフィールドを検証
    alt パスワード一致
        BPFDoor-->>Attacker: セッション確立（RC4暗号化ストリーム）
    else 不一致
        BPFDoor-->>Attacker: 応答なし・セッション拒否
    end

    %% ③ 隠蔽・持続化フェーズ
    BPFDoor->>OS: /dev/shm に自己コピー → 元ファイル削除
    BPFDoor->>OS: プロセス名を偽装<br/>("/sbin/udevd -d" など)
    BPFDoor->>OS: iptables -I INPUT <attacker IP>
    BPFDoor->>OS: iptables -t nat PREROUTING DNAT
    BPFDoor->>OS: open /dev/ptmx → /bin/sh を生成
    Attacker-->>BPFDoor: PTYシェル操作（コマンド実行）

3️⃣ なぜ検知が難しいのか？

4️⃣ MITRE ATT&CKマッピング（Enterprise v17）

参考: MITRE ATT&CKソフトウェア項目 S1161 (BPFDoor)

5️⃣ 実戦PLURA-XDRによる検知：Sysmon for Linux

** RawAccessReadイベントはLinux Sysmon 5.8+ ビルドが対象
TIP：rule_id=BPFDoor_RawSocket のようなカスタムタグを付けてPLURA-XDRに送信すると、後続の相関分析が容易になります。

1. ファイル名偽装と自己削除の検知

• /dev/shm/kdmtmpflush ファイルの作成と削除、権限付与などが発生

2. プロセス初期化の検知

• メモリ実行のための —init フラグが出現

3. iptablesコマンドによるファイアウォール設定変更の検知

• バックドアによるリバースシェル接続用ポートの開放

4. リバースシェル接続行為の検知

• ネットワーク接続を示すSysmonのEventID 3のログ発生、iptables経由で開かれたポートからのパケット送信を検知

5. リバースシェル接続の成功検知

• 該当コマンド・プロセスがログに現れた場合、リバースシェルが成功したことを意味する

6️⃣ PLURA-XDR検知戦略

🔚 結論 & 対応チェックリスト

1. メモリパスの実行監視 – /dev/shm, /tmp をリアルタイム監視
2. Raw Socketルール適用 – AF_PACKET 生成イベントを即時通知
3. iptables変更アラート – ポリシー・NATテーブルの整合性を定期チェック
4. 多層相関分析 – ネットワーク・ホスト・ログのグラフを連携分析
5. IOCの定期更新 – サンプルハッシュ・C2アドレスのブロック

BPFDoorは「見えない」バックドアを志向します。
PLURA-XDRはホスト・ネットワーク・ログの全レイヤーを観測し、その 見えない瞬間 を捉えます。

📺 関連動画を見る

• BPFDoor攻撃、どうやって侵入するのか？｜PLURAによるリアルタイム検知デモ
• BPFDoor、こうして捕まる！｜PLURAのAuditログベースのリアルタイム検知デモ

📖 関連コンテンツを読む

• SKTハッキング悪性コードBPFDoor分析および検知デモ映像（PLURA-XDR対応戦略付き）
• SKT USIMハッキング事件の総まとめ：流出原因・被害規模・対応方法まで
• LinuxでもSysmonを使うべき理由！