Rapid7研究人員揭露名為AVERAT的新型Linux植入程式，在台灣網通設備上冒充本土郵件安全廠商ShareTech相關程序，針對企業與學校常見的郵件過濾環境。

偽裝手法

據10月6日報告，攻擊者透過投放器安裝後門，程序名稱仿合法服務，管理員在一般程序清單中不易察覺。

指令通道可藉SMTP傳輸，外連看似一般寄信而非異常DNS隧道。Rapid7亦記錄韓國相關BPF植入，顯示攻擊者依在地IT生態調整 camouflage。

邊界設備為何受青睞

路由器、DVR與郵件安全閘道位於內外網交界，淪陷後可長期監看而不必感染筆電端點。

報告援引Barracuda郵件閘道遭入侵先例。只要SMTP仍被信任，類似手法可能重現。

Rapid7建議防禦步驟

應稽核不需封包截取主機上的raw socket與BPF規則、檢查非郵件程序對TCP 25的外連，並搜尋名稱像常見daemon但路徑異常的執行檔。

限制邊界設備管理介面、對廠商後台強制多因素認證，可封堵常見入侵路徑；數位部已要求電信與政府資服業改善防火牆規則稽核，本案即為例證。

台北的應變

TWCERT尚未公布受害數，但使用ShareTech等閘道的機構應比對廠商校驗碼並檢查異常SMTP監聽。BPF被动植入可能逃過傳統端口掃描。

法遵與公關團隊應準備通知，即使無勒索，郵件路徑遭竊聽亦可能被視為需通報事件。

更大威脅圖像

AVERAT消息與數位部以AI掃描關基漏洞同期出現；AI掃描未必識別本土品牌程序偽裝，仍須人工獵捕劇本。

對台灣資安界，郵件與網通設備應視為皇冠珠寶，SMTP外連紀錄應與雲端後台同等嚴格。