10/10/2026 · VietTechies · Biên tập
BPFDoor, dòng cửa hậu (backdoor) lặng lẽ trên hệ điều hành Linux, đã tái xuất hiện và trở thành mối đe dọa nghiêm trọng đối với các thiết bị bảo mật vùng biên cùng mạng lưới viễn thông. Trong khi các loại mã độc truyền thống thường duy trì kết nối ra ngoài liên tục và dễ làm kích hoạt cảnh báo hệ thống, BPFDoor lại nằm ẩn mình cho đến khi nhận được một chuỗi gói tin kích hoạt được thiết kế đặc biệt. Các báo cáo phân tích từ Rapid7 cho thấy những kẻ tấn công đang khai thác triệt để hạ tầng vùng biên kết nối Internet—chẳng hạn như cổng chuyển tiếp thư điện tử (mail gateway) và thiết bị tường lửa—vốn là những nơi hiếm khi được cài đặt công cụ phát hiện điểm cuối. Không chỉ dừng lại ở các cảnh báo cấp chiến lược về nguy cơ đối với an ninh an toàn thông tin quốc gia, phân tích kỹ thuật chuyên sâu xác nhận dòng mã độc này đang chủ động biến đổi để thích ứng với môi trường phần mềm và cấu hình proxy riêng biệt của từng khu vực nhằm duy trì quyền truy cập bất hợp pháp.
Cơ chế ngụy trang BPF và tín hiệu kích hoạt qua lưu lượng Web
Theo Christiaan Beek, Phó chủ tịch bộ phận Trí tuệ mối đe dọa tại Rapid7, các thiết bị vùng biên là mục tiêu tấn công hàng đầu bởi chúng liên tục kết nối với Internet nhưng tổ chức lại không thể cài đặt phần mềm bảo mật điểm cuối của bên thứ ba. Các đánh giá nguy cơ chỉ ra rằng sự im lặng là một đặc tính kiến trúc cố ý của cửa hậu này, và quá trình phân tích mã nguồn ngược đã làm hé lộ các thao tác mạng chính xác được sử dụng để vượt qua cơ chế kiểm tra gói tin sâu. Các nghiên cứu trước đây của Rapid7 ghi nhận những biến thể đầu tiên sử dụng chuỗi byte kỳ diệu cố định ở Tầng 4 trong phần đầu gói tin TCP hoặc UDP, vốn nhanh chóng bị các chữ ký mạng tĩnh phát hiện và đưa vào danh sách theo dõi.
Những biến thể hoạt động gần đây đã bọc các tín hiệu kích hoạt này bên trong yêu cầu HTTPS POST chuẩn, giúp gói tin độc hại dễ dàng lọt qua các proxy vùng biên có mã hóa. Do máy chủ proxy thường làm thay đổi độ dài phần đầu HTTP, máy chủ điều khiển của mã độc sẽ tự động chèn thêm các chuỗi đệm dự đoán được vào yêu cầu web. Thao tác này đảm bảo tải độc hại rơi đúng vị trí byte mục tiêu trước khi các bộ lọc socket thô kịp xử lý. Ngoài ra, một số biến thể chuyên biệt còn tận dụng lưu lượng qua cổng 25, cho phép tín hiệu kích hoạt ẩn giấu trực tiếp trong các luồng chuyển tiếp mail mà tường lửa biên giới vẫn thường xuyên cho phép qua.
Giả mạo tiến trình theo vùng miền và thực thi trong bộ nhớ
Không dừng lại ở việc ngụy trang trên đường truyền mạng, các biến thể BPFDoor còn áp dụng kỹ thuật che giấu ở cấp độ máy chủ, được thiết kế riêng cho từng nền tảng phần mềm trên hạ tầng mục tiêu. Các báo cáo tóm tắt cho thấy kẻ tấn công ngụy trang tiến trình mã độc thành các ứng dụng nội địa, chẳng hạn như tiện ích chống thư rác tại Hàn Quốc, nhằm vượt qua sự kiểm tra thủ công của quản trị viên.
Phân tích kỹ thuật chi tiết hơn mô tả cách mã độc thao túng dữ liệu tả (metadata) của tiến trình để giả mạo các tiến trình chạy ẩn (daemon) hợp lệ trên hệ điều hành Linux, bao gồm trình quản lý mạng, dịch vụ đồng bộ thời gian và các nền tảng cung ứng Oracle phổ biến trong kiến trúc viễn thông. Trong một số chiến dịch nhắm vào phần cứng khu vực, chuỗi lây nhiễm hai giai đoạn sẽ ghi tải độc hại lên ổ đĩa dưới tên gọi vô hại, thực thi chúng, rồi xóa sạch tệp cài đặt chỉ trong vòng 10 giây. Kỹ thuật này khiến tiến trình độc hại chỉ chạy hoàn toàn trong bộ nhớ hệ thống mà không để lại tệp thực thi nhị phân trên ổ đĩa. Hơn nữa, mã độc còn can thiệp để vô hiệu hóa biến ghi lịch sử lệnh shell, ngăn cản quản trị viên rà soát các câu lệnh đã thực hiện trong thời gian cửa hậu hoạt động.
Quản trị rủi ro chiến lược và rà soát phòng thủ vùng biên
Sự tồn tại dai dẳng của các cửa hậu không bị phát hiện trên thiết bị biên giới phản ánh lỗ hổng căn bản trong công tác quản lý rủi ro doanh nghiệp và hạ tầng viễn thông quốc gia. Khi kẻ tấn công chiếm được quyền truy cập không bị giám sát bên trong lõi mạng viễn thông, chúng có khả năng quan sát định danh thuê bao, luồng tuyến truyền tải, luồng xác thực và dữ liệu nghe lén hợp pháp. Về mặt quản trị, việc đặt các thiết bị phần cứng nằm giữa mạng nội bộ và Internet công cộng mà không có khả năng kiểm tra bộ nhớ máy chủ đồng nghĩa với việc doanh nghiệp đang phó mặc sự tin cậy cho bên thứ ba, trong khi vẫn phải chịu toàn bộ trách nhiệm khi xảy ra sự cố bảo mật.
Đứng trước thách thức này, đội ngũ lãnh đạo an ninh mạng cần thay đổi cách thức báo cáo tới hội đồng quản trị: chuyển từ những lời đảm bảo ảo tưởng về một hệ thống hoàn toàn sạch sang việc công khai minh bạch các giới hạn trong khả năng giám sát. Báo cáo trung thực cần làm rõ tài sản nào đã được rà soát, vùng mù giám sát nằm ở đâu và bộ phận nào chịu trách nhiệm khắc phục các thiết bị chưa thể theo dõi. Lực lượng phòng thủ có thể tiến hành kiểm tra hệ thống Linux để phát hiện các mã độc ẩn giấu: quét các đường dẫn hệ thống tìm tiến trình đang chạy tham chiếu đến tệp thực thi đã bị xóa, phát hiện các socket gói tin thô hoạt động trên các máy chủ bất thường, truy vết kết nối ra ngoài trái phép qua cổng thư điện tử và thắt chặt quyền truy cập quản trị vào các giao diện vùng biên.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: What the BPFDoor backdoor tells us about attacks on the network edge · SMTP is the key: BPFDoor and AVERAT hitting the network edge