گروه چینی Red Menshen از ایمپلنت‌های مخفی BPFDoor برای جاسوسی از طریق شبکه‌های مخابراتی استفاده می‌کند

یک گروه تهدید سایبری مرتبط با چین، موسوم به Red Menshen (که با نام‌های Earth Bluecrow، DecisiveArchitect و Red Dev 18 نیز ردیابی می‌شود)، در یک کمپین جاسوسی بلندمدت و مستمر، خود را در شبکه‌های مخابراتی جاسازی کرده تا به شبکه‌های دولتی نفوذ کند. این گروه که حداقل از سال ۲۰۲۱ اپراتورهای مخابراتی در خاورمیانه و آسیا را هدف قرار داده، از ابزارهایی نظیر ایمپلنت‌های سطح هسته (kernel-level implants)، درهای پشتی غیرفعال (passive backdoors)، ابزارهای سرقت اعتبارنامه و چارچوب‌های فرمان چندسکویی (cross-platform command frameworks) بهره می‌برد. شرکت امنیتی Rapid7 این مکانیزم‌های دسترسی پنهان را «برخی از مخفی‌ترین سلول‌های خفته دیجیتال» در شبکه‌های مخابراتی توصیف کرده است.

محوری‌ترین ابزار این گروه، یک درِ پشتی لینوکسی به نام BPFDoor است که برخلاف بدافزارهای معمول، هیچ پورت شنودی را در معرض نمایش نمی‌گذارد و کانال‌های فرمان‌ودهی قابل مشاهده‌ای ندارد؛ در عوض، با سوءاستفاده از قابلیت Berkeley Packet Filter (BPF)، ترافیک شبکه را مستقیماً در هسته سیستم‌عامل بررسی می‌کند و تنها با دریافت یک بسته محرک خاص فعال می‌شود. یک نمونه جدید و پیش‌تر مستندنشده از BPFDoor نیز کشف شده که بسته محرک را درون ترافیک ظاهراً معتبر HTTPS پنهان می‌کند و از پروتکل ICMP برای ارتباط میان میزبان‌های آلوده استفاده می‌نماید. Rapid7 هشدار داده که مهاجمان به‌طور فزاینده‌ای ایمپلنت‌های خود را در لایه‌های عمیق‌تر زیرساخت، از جمله هسته سیستم‌عامل، جاسازی می‌کنند و محیط‌های مخابراتی به دلیل ترکیب سیستم‌های متنوع، بستر ایده‌آلی برای پایداری بلندمدت و کم‌سروصدا فراهم می‌آورند.