2021年，某个中东电信运营商的工程师发现服务器负载异常波动，排查三天后一无所获。他永远不会知道，那台机器的内核里已经住进了一个"看不见的房客"——它不监听端口、不发心跳包、不写入日志，直到收到一封特定格式的"暗号"才会苏醒。
Rapid7最新报告揭开了这个持续四年的秘密：一个被命名为Red Menshen的中国关联威胁组织，已将触角伸入亚洲和中东的多国电信网络。他们使用的工具BPFDoor，被安全研究员称为"电信网络中遇到过的最隐蔽的数字休眠细胞"。
BPFDoor的运作逻辑：把后门做成"感应门铃"
传统后门像一台一直响着的对讲机——持续监听端口、定期向外报告位置，很容易被流量分析发现。BPFDoor的做法截然相反：它把自己变成了一枚"感应门铃"。
具体来说，它在Linux内核中植入一个伯克利包过滤器（Berkeley Packet Filter，一种内核级网络流量分析机制），被动检查所有经过的数据包。只有当检测到预设的"魔法数据包"时，才会触发远程shell。其余时间，它完全静默。
Rapid7 Labs的描述很精确：「没有持久监听器，没有明显的信标行为。结果是一个嵌入操作系统本身的隐藏陷阱门。」
这种设计让常规安全工具几乎无法察觉。端口扫描？没有开放端口。流量分析？没有异常外联。日志审计？内核级操作不留下痕迹。一位参与溯源的研究员打了个比方：这就像在房子里装了一个声控灯，但只有说对特定暗语才会亮——而房主的电表根本看不出异常。
更棘手的是控制端的设计。攻击者可以将控制器部署在受害网络内部，伪装成合法系统进程，通过发送激活数据包在内部主机间横向移动。这意味着一旦突破边界，他们能在内网"隐身漫步"而不触发任何边界告警。
攻击链还原：从边缘设备到内核深处
Red Menshen的入侵路径经过精心规划，每一步都针对电信网络的典型弱点。
初始访问阶段，他们扫描面向互联网的基础设施和暴露的边缘服务——VPN设备、防火墙、Web平台。报告列出的目标清单包括Ivanti、Cisco、Juniper Networks、Fortinet、VMware、Palo Alto Networks以及Apache Struts相关系统。这些都是企业网络的"正门"，也是补丁管理最难覆盖的角落。
获得立足点后，攻击者部署Linux兼容的Beacon框架CrossC2进行后渗透活动。同时投放的工具包括：Sliver（跨平台命令控制框架）、TinyShell（Unix后门）、键盘记录器和暴力破解工具——后者用于凭证收集和横向移动。
但所有这些只是铺垫。BPFDoor的植入才是核心目标。一旦进入内核，攻击者便获得了"上帝视角"：可以截获经过该设备的任意网络流量，包括其他用户的通信元数据。
电信网络的拓扑结构让这种权限极具战略价值。骨干路由器、核心交换机、信令网关——这些设备承载着海量用户流量的汇聚与分发。控制它们，意味着无需逐个入侵终端就能获取大规模情报。
组织画像：四个名字，同一套手法
Red Menshen并非新面孔。安全行业给它起了多个别名：Earth Bluecrow、DecisiveArchitect、Red Dev 18。命名混乱反映了威胁情报的碎片化——不同厂商基于不同事件样本各自命名，直到近年才逐渐关联到同一组织。
其活动轨迹可追溯至2021年，持续 targeting 中东和亚洲的电信提供商。选择这一领域并非偶然：电信网络是国家关键基础设施的"神经系统"，兼具情报价值高、攻击面大、防御复杂三重特征。
攻击者的技术偏好也透露出专业背景。BPFDoor对BPF的利用需要深厚的内核开发经验；CrossC2的选择表明熟悉红队工具链；而针对多厂商边缘设备的初始访问策略，显示出对企业网络架构的系统性研究。
Rapid7没有明确归因到具体国家机构，但"China-nexus"的定性在业界有特定含义——通常指技术特征、基础设施关联或受害者模式与中国情报需求高度吻合，但缺乏可直接法庭采信的证据链。
防御困境：当后门比合法软件更安静
BPFDoor的隐蔽性提出了一个尖锐问题：如果恶意软件比合法监控工具更"守规矩"，传统防御体系如何区分？
电信行业的合规要求通常聚焦于数据留存、访问审计、边界防护——这些对内核级被动后门几乎无效。一位欧洲运营商的安全负责人曾私下抱怨：「我们花数百万买的SOC平台，对BPF过滤器里的代码一无所知。」
检测难点在于权限层级的不对称。BPFDoor运行在内核态，而大多数安全代理运行在用户态。想要发现它，需要同样深入内核的监控能力——但这本身又会引入新的攻击面和性能开销。
Rapid7建议的缓解措施包括：强化边缘设备补丁管理、实施网络分段、监控异常BPF程序加载、启用内核完整性保护。这些建议的共性是：都不便宜，都需要持续投入，都与业务部门的效率诉求存在张力。
报告发布时，Red Menshen的活动仍在继续。Rapid7没有披露具体受害者的数量或身份，但强调"战略定位活动"——即长期潜伏、维持访问——仍在多个关键环境中进行。
这意味着此刻，在某些电信机房的服务器里，BPFDoor可能正安静地检查着每一个经过的数据包，等待那个永远不会在日志中出现的"魔法暗号"。而运维团队的监控大屏上，一切指标正常。
如果内核级后门已经成为国家级对手的标配工具，企业安全预算的分配逻辑是否需要根本性的重构——从"阻止入侵"转向"假设已入侵后的快速发现与遏制"？这个问题，Red Menshen的四年潜伏已经给出了部分答案。
热门跟贴