[202505] BPFdoor 악성코드란 무엇인가? 대응방안 소개 | What is BPFdoor Malware? How to Respond

 

🛡️ BPFdoor 악성코드란?

What is the BPFdoor Malware?

BPFdoor는 중국계 APT 공격 그룹이 사용하는 리눅스 기반 백도어 악성코드입니다. 이 악성코드는 방화벽을 우회하고, 파일을 남기지 않으며, 장기간 탐지되지 않고 침투 대상 시스템을 원격 제어할 수 있는 고급 위협 요소입니다.

---

🎯 주요 특징

• 리눅스 기반 공격: 리눅스 운영체제를 타깃으로 동작
• BPF(Berkeley Packet Filter) 사용: 네트워크 감시 및 방화벽 우회를 위해 BPF 인터페이스 활용
• 무포트 통신: 시스템의 어떠한 포트도 열지 않은 상태에서 특정 트리거 패킷 수신 시만 활성화됨
• Fileless 악성코드: 디스크에 파일을 남기지 않고 메모리 상에서만 동작하여 탐지가 어려움
• 역방향 연결 불필요: 외부에서 명령을 수신해 실행하므로 별도의 연결 시도 없이도 동작
• 다양한 악성 기능 포함: 시스템 명령 실행, 파일 접근, 네트워크 터널링, 역쉘 제공 등

---

🕵️‍♂️ 동작 방식

1. 공격자는 타깃 서버에 BPFdoor를 심어 둠
2. BPFdoor는 BPF를 이용해 네트워크 패킷을 감시
3. 특정한 구조의 "마법의 패킷(Magic Packet)"을 수신하면 활성화됨
4. 공격자 명령을 수신하여 시스템 제어, 정보 탈취 등 수행

---

📌 피해 사례 및 위협

• 중국계 APT 그룹 "Red Menshen"이 사용한 것으로 알려짐
• 정부기관, 방위산업체, 통신사 등을 대상으로 침투
• 수개월 동안 탐지되지 않고 정보 유출 및 시스템 장악
• 보안 장비 및 로깅 시스템 우회를 통해 탐지 회피 성공

---

🔐 대응 방안

• 리눅스 서버의 비정상 트래픽 및 네트워크 패킷 분석 강화
• BPF 인터페이스 사용 내역 및 네트워크 호출 모니터링
• 서버 무결성 검사 및 정기 점검 시행
• 행위 기반 탐지 시스템(EDR, SIEM 등) 활용
• 의심 IP 차단 및 IOC(침해지표) 등록으로 사전 대응

---

🛡️ 실시간 대응 정책

1. 네트워크 모니터링

• C2 서버(명령제어 서버)로의 비정상 수신 포트 트래픽 여부를 실시간 분석
• tcpdump, Wireshark 등을 이용해 패킷 필터(BPF) 우회 시도 패킷 감시
• 특정 포트를 열지 않았음에도 패킷 수신이 발생하는 경우 즉시 경고 설정

2. 파일 무결성 검사

• /dev/shm, /usr/lib 등 주요 경로에 대한 무결성 검사 도구 활용:
  • AIDE, Tripwire 등을 활용한 파일 변화 감지
• 의심 경로에 생성되는 파일에 대한 접근/변조 로그 추적 (auditd 설정 권장)

3. 실시간 탐지 솔루션 설정

• EDR(Endpoint Detection and Response) 또는 SIEM(Security Information and Event Management)에 IOC(침해지표) 등록
• cron, systemd, init 등에 등록된 비정상 프로세스 탐지
• 비인가 명령 실행, UDP 역방향 쉘 등의 행위 기반 룰 등록

4. 시스템 하드닝

• 사용하지 않는 raw socket, BPF 인터페이스 비활성화
  • sysctl -w net.core.bpf_jit_enable=0 등 설정
• root 계정 접근 시 자동 알림 설정 (e.g. /etc/ssh/sshrc 활용)
• 서버 보안 가이드에 따라 최소 권한 원칙(Least Privilege Principle) 적용

🧩 마무리

BPFdoor는 단순한 악성코드가 아닌, 고도화된 APT 공격 도구입니다. 특히 리눅스 서버 환경에서 매우 은밀하게 동작하며, 일반적인 백신이나 방화벽으로는 탐지하기 어렵습니다.
따라서 보안 담당자는 행위 기반 탐지 체계와 정기적인 보안 점검을 통해 이러한 위협에 선제적으로 대응해야 합니다.

 

 

---

첨부파일 : 250512_KISA_BPFDoor_악성코드_점검_가이드

  * 출처 : BPFDoor 악성코드 점검 가이드 배포 > 보안공지 > 알림마당 : KISA 보호나라&KrCERT/CC

250512_KISA_BPFDoor_악성코드_점검_가이드.pdf

1.40MB