SKT 해킹 악성코드 BPFDoor 분석 및 PLURA-XDR 대응 전략 (탐지 시연 영상 포함)

BPFDoor는 eBPF 필터·매직 바이트·다중 프로토콜을 이용해 “패킷 흔적이 0”에 가까운 포트리스(backdoor) 상태를 구현합니다. 기존 접근 방식으로는 탐지되지 않습니다. 이러한 탐지 우회를 깨뜨리려면 메모리 실행·AF_PACKET 소켓·iptables 변조 같은 행위 시그널을 교차 분석해야 합니다.

1️⃣ BPFDoor 개요

2️⃣ 동작 메커니즘 정리

① 매직 바이트 & 다중 프로토콜

• 트리거 → 0x7255 (TCP/UDP) · 0x5293 (ICMP) 매직 바이트 수신 시만 활성화
• 지원 프로토콜 → TCP · UDP · ICMP 모두 수락
• 허용 포트 → 22/80/443 등 일반 서비스 포트를 재사용 → 포트 스캔 회피

② RC4 암호화∙패스워드 인증

struct magic_packet {
    unsigned int flag;
    in_addr_t    ip;
    unsigned short port;
    char pass[14];   // "justforfun" 등 하드코딩
};

• pass 값이 내부 키와 일치해야 세션 수립
• RC4 스트림으로 입·출력을 실시간 암복호화
• SKT 해킹 사고에 사용된 것으로 추측되는 BPFDoor의 패스워드 부분

③ 은폐·지속화 기법

📊 Sequence Diagram — 전체 흐름

sequenceDiagram
    %% Participants
    participant Attacker
    participant HSS
    participant Kernel/eBPF as eBPF
    participant BPFDoor
    participant Host OS as OS

    %% ① 매직 바이트 & 다중 프로토콜
    Attacker->>HSS: 일반 스캔·패킷<br/>(매직 바이트 없음)
    HSS-->>Attacker: (무응답) 포트리스 상태
    Attacker->>HSS: Magic Packet 0x7255 (TCP/UDP, 22/80/443)
    Attacker->>HSS: Magic Packet 0x5293 (ICMP)
    HSS->>eBPF: 패킷 전달
    eBPF-->>BPFDoor: 매직 바이트 일치 → 활성화

    %% ② RC4 암호화·패스워드 인증
    BPFDoor->>BPFDoor: magic_packet 구조체 파싱<br/>pass 필드 검증
    alt 패스워드 일치
        BPFDoor-->>Attacker: 세션 수립 (RC4 암복호화 스트림)
    else 불일치
        BPFDoor-->>Attacker: 무응답·세션 거부
    end

    %% ③ 은폐·지속화 단계
    BPFDoor->>OS: /dev/shm 경로로 자가 복사 → 원본 삭제
    BPFDoor->>OS: 프로세스 이름 위장<br/>("/sbin/udevd -d" 등)
    BPFDoor->>OS: iptables -I INPUT <attacker IP>
    BPFDoor->>OS: iptables -t nat PREROUTING DNAT
    BPFDoor->>OS: open /dev/ptmx → /bin/sh 생성
    Attacker-->>BPFDoor: PTY 쉘 조작 (명령 실행)

3️⃣ 왜 탐지가 어려운가?

4️⃣ MITRE ATT&CK 매핑 (Enterprise v17)

참조: MITRE ATT&CK 소프트웨어 항목 S1161 (BPFDoor)

5️⃣ 실전 PLURA-XDR 탐지: Sysmon for Linux

* RawAccessRead 이벤트는 Linux Sysmon 5.8+ 빌드 기준 TIP : rule_id=BPFDoor_RawSocket 같은 커스텀 태그를 달아 PLURA-XDR에 전송하면 후속 상관 분석이 용이합니다.

1. 파일이름 위장과 자가 삭제 탐지

• /dev/shm/kdmtmpflush 파일 생성 및 삭제, 권한 부여 등 발생

2. 프로세스 초기화 탐지

• 메모리 기반으로 초기화하기 위한 —init 플래그 발생

3. iptables 명령어를 통한 방화벽 설정 변경 탐지

• 백도어로부터 발생한 리버스 쉘 연결을 위한 포트 오픈

4. 리버스 쉘 연결 행위 탐지

• 네트워크 연결을 의미하는 Sysmon의 EventID 3번 로그의 발생, iptables로 열린 포트로 부터 패킷 전송 탐지

5. 리버스 쉘 연결 성공 탐지

• 해당 명령어 및 프로세스가 로그에 발생 시 리버스 쉘 연결이 성공하였다는 것을 의미

6️⃣ PLURA-XDR 탐지 전략

🔚 결론 & 대응 체크리스트

1. 메모리 경로 실행 감시 – /dev/shm, /tmp 실시간 모니터링
2. Raw Socket 룰 적용 – AF_PACKET 생성 이벤트 즉시 알림
3. iptables 변경 알림 – 정책·NAT 테이블 무결성 주기 검사
4. 다계층 상관 분석 – 네트워크·호스트·로그 그래프 연계
5. 주기적 IOC 업데이트 – 샘플 해시·C2 주소 블록

BPFDoor는 ‘보이지 않는’ 백도어를 지향합니다. PLURA-XDR는 호스트·네트워크·로그 전 계층 관측을 통해 그 보이지 않는 순간을 잡아냅니다.

📺 함께 시청하기

• BPFDoor 공격, 어떻게 침투하는가? | PLURA 실시간 탐지 시연
• BPFDoor, 이렇게 걸린다! | PLURA의 Audit 로그 기반 실시간 탐지 시연

📖 함께 읽기

• SKT 해킹 악성코드 BPFDoor 분석 및 탐지 시연 영상 (PLURA-XDR 대응 전략 포함)
• SKT 유심 해킹 사건 총정리: 유출 원인, 피해 규모, 대응 방법까지
• 리눅스에서도 Sysmon을 사용해야 하는 이유!