Rapid7 a publicat joi rezultatele unei investigații desfășurate luni de zile, care detaliază modul în care un actor de amenințare legat de China, cunoscut sub numele de Red Menshen, a integrat „celule dormante” extrem de discrete în rețelele globale de telecomunicații folosind BPFdoor, o ușă din dos la nivelul kernelului Linux, dezvăluită public pentru prima dată în 2022. Malware-ul exploatează tehnologia Berkeley Packet Filter pentru a monitoriza pasiv pachetele de rețea fără a deschide porturi sau a genera activitate de semnalizare, ceea ce îl face aproape invizibil pentru instrumentele convenționale de detectare la nivel de endpoint.

 

 

„Dacă ai acces la infrastructura de telecomunicații, nu te afli doar în interiorul unei companii, ci operezi aproape de nivelul de comunicare al unor populații întregi”, a declarat Raj Samani, cercetător-șef la Rapid7.

Cercetarea, prezentată joi la conferința RSAC 2026 din San Francisco, a descoperit că o variantă nou identificată a BPFdoor ascunde comenzile de declanșare în traficul HTTPS criptat, exploatând puncte de terminare SSL precum load balancere și servere proxy. Rapid7 a descoperit, de asemenea, că malware-ul vizează protocoale specifice telecomunicațiilor, precum SCTP, ceea ce ar putea permite supravegherea activității abonaților, urmărirea locației și date legate de identitate în rețelele 4G și 5G. Campania reprezintă o schimbare de la intruziuni oportuniste către pre-poziționare deliberată, pe termen lung, malware-ul imitând servicii legitime de infrastructură pentru a se integra în operațiunile de rutină.

Rapid7 a lansat un script de scanare gratuit, open-source, pentru a ajuta organizațiile să detecteze implanturi BPFdoor.