BPFDoor 악성코드, 해킹 위협 대응을 위한 2차 보안 가이드

최근 통신사 리눅스 서버 해킹 사건과 관련해, 한국인터넷진흥원(KISA)에서 ‘백도어 악성코드 ‘BPFDoor’에 대한 2차 위협 정보를 공개했다. 이 악성코드는 탐지를 회피하며 장기간 시스템에 은밀히 존재해 정보 탈취 및 추가 공격 거점으로 악용되었다.

이에 따라 기업 보안 담당자는 시스템 보안에 각별히 주의해야 하며, 이를 위한 보안 권고사항은 다음과 같다.

1. 침해지표(IOC) 기반 탐지 및 차단

1) 최신 BPFDoor 관련 IOC(IP, 도메인, 해시 등)를 수집하고, EDR, NIDS, SIEM 등에 적용하여 이상 징후를 탐지

2) 다음과 같은 IOC 항목을 모니터링

- 의심스러운 BPF 필터링 동작

- 잘 알려지지 않은 프로세스의 원격 명령 수신

- 비표준 포트를 통한 외부 접속

2. 비정상 네트워크 트래픽 탐지 강화

1) 수신 포트를 열지 않고도 패킷 필터링으로 명령을 수신할 수 있기 때문에, 다음과 같은 네트워크 이상 징후를 분석

- 포트 열림 없이 외부에서의 트래픽 반응

- ICMP, UDP를 이용한 비정상 패킷 존재

3. 시스템 모니터링 및 파일 무결성 검증

1) 시스템에 설치된 비정상 바이너리 및 수정된 시스템 파일을 정기적으로 점검

2) chkrootkit, rkhunter 등의 도구로 rootkit 감지 수행

3) 백도어에 의해 생성될 수 있는 의심스러운 파일 또는 네트워크 소켓 확인

4. 패치 및 시스템 업데이트

1) BPFDoor는 커널 레벨에서 동작할 수 있으므로, 커널 취약점을 포함한 모든 보안 패치를 최신으로 유지

2) 사용 중인 Linux 배포판의 보안 권고사항을 확인하고 주기적으로 적용

5. 접근통제 및 최소권한 원칙 적용

1) 시스템에 대한 root 접근을 제한하고, 불필요한 서비스 및 포트를 차단

2) 관리자 계정 사용 시 MFA(다중인증) 활성화

6. 로그 분석 및 장기 로그 보관

1) /var/log/messages, auditd, auth.log 등의 로그를 수집하여 다음과 같은 행위를 감지

- 비정상 프로세스 실행 기록

- BPF 또는 raw socket 관련 활동

2) 장기 로그 보관을 통해 APT처럼 장기간 잠복하는 공격도 추적 가능

7. 보안 솔루션 탐지 우회 감시

1) BPFDoor는 보안 솔루션을 우회할 수 있는 기능이 있기 때문에, 안티바이러스 및 EDR의 탐지 우회 징후도 분석 필요

2) EDR 우회 또는 비정상 종료 시 경고 생성되도록 설정

8. 내부 사용자 보안 인식 교육

1) 의심스러운 이메일, 파일, URL을 열지 않도록 보안 인식을 강화하고, 사회공학 공격에 대한 경각심을 갖도록 교육

9. 정기적 보안 점검 및 침투 테스트

1) BPFDoor가 탐지되지 않는 경우를 대비하여, 정기적인 레드팀/블루팀 테스트로 보안체계를 검증

또한, 한국인터넷진흥원에서 공지된 악성코드에 대해 안랩에서 제공하는 보안제품(V3 등)에서는 아래의 내용으로 대응하고 있다.

No	파일명	Size	SHA1	SHA256	MD5	진단 정보
1	dbus-srv	34KB	67a3a1f8338262cd9c948c6e55a22e7d9070ca6c	925ec4e617adc81d6fcee60876f6b878e0313a11f25526179716a90c3b743173	3c54d788de1bf6bd2e7bc7af39270540	Backdoor/Linux.BPFDoor.34752 (2025.04.24.00)
2	inode262394	28KB	0f12ab32bac3f4db543f702d58368f20b6f5d324	29564c19a15b06dd5be2a73d7543288f5b4e9e6668bbd5e48d3093fb6ddf1fdb	fbe4d008a79f09c2d46b0bcb1ba926b3	Backdoor/Linux.BPFDoor.XE254 (2025.04.29.02)
3	dbus-srv	34KB	4b6824ed764822dc422384cec89d45bbc682ef09	be7d952d37812b7482c1d770433a499372fde7254981ce2e8e974a67f6a088b5	c2415a464ce17d54b01fc91805f68967	Backdoor/Linux.BPFDoor.34752 (2025.04.24.00)
4	dbus-srv	34KB	213dbb5862a19a423e5b10789a07ee163ab71969	027b1fed1b8213b86d8faebf51879ccc9b1afec7176e31354fbac695e8daf416	aba893ffb1179b2a0530fe4f0daf94da	Backdoor/Linux.BPFDoor.34752 (2025.04.24.00)
5	dbus-srv	32KB	7e7234c5e94a92dd8f43632aca1ac60db7d96d56	a2ea82b3f5be30916c4a00a7759aa6ec1ae6ddadc4d82b3481640d8f6a325d59	e2c2f1a1fbd66b4973c0373200130676	Backdoor/Linux.BPFDoor (2025.05.03.01)
6	File_in_Inode_#1900667	28KB	c2717777ba2cb9a698889fca884eb7650144f32e	e04586672874685b019e9120fcd1509d68af6f9bc513e739575fc73edefd511d	dc3361ce344917da20f1b8cb4ae0b31d	Backdoor/Linux.BPFDoor (2025.05.03.01)
7	gm	2,063KB	a778d7ad5a23a177f2d348a0ae4099772c09671e	adfdd11d69f4e971c87ca5b2073682d90118c0b3a3a9f5fbbda872ab1fb335c6	5f6f79d276a2d84e74047358be4f7ee1	Trojan/Linux.BPFControl (2025.05.03.01)
8	rad	22KB	b631d5ed10d0b2c7d9c39f43402cccde7f3cb5ea	7c39f3c3120e35b8ab89181f191f01e2556ca558475a2803cb1f02c05c830423	0bcd4f14e7d8a3dc908b5c17183269a4	Trojan/Linux.BPFControl (2025.05.03.01)