Исходящее SMTP-соединение от антиспам-шлюза к почтовому обменнику – самая штатная операция, на которую способна эта коробка. Когда AVERAT выходит на 25-й порт, отправляет EHLO и запрашивает STARTTLS, flow-запись неотличима от легитимного relay: устройство делает ровно то, для чего стоит в стойке. Оператор не подбирал протокол из каталога – он прочитал профиль трафика цели точнее, чем её владелец.
Экосистема из пяти модулей, и каждый знает среду, в которую попадает. Контроллер BPFDoor туннелирует триггер через HTTPS-прокси с SSL offloading и математически гарантирует, что маркер окажется на нужном байте после любых заголовков. Южнокорейские варианты маскируются под SpamSniper – антиспам, встречающийся почти исключительно на корейских почтовых шлюзах. Дроппер засеял свой крипто-ключ строкой ShareTech – именем вендора аплайенса-жертвы. Шесть билдов AVERAT разошлись по тайваньским коробкам, звонят домой по SMTP и строят реле из чужих NAS, камер Dahua и забытых CPE. Как именно был получен первичный доступ к шлюзам, исследование не восстановило: дроппер начинает работу, когда плацдарм уже есть.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local