Un nouveau botnet bas\u00e9 sur Mirai appel\u00e9 NoaBot<\/strong> est utilis\u00e9 par les acteurs malveillants dans le cadre d\u2019une campagne de crypto mining depuis le d\u00e9but de 2023.<\/p>\n “Les capacit\u00e9s du nouveau botnet, NoaBot, incluent un auto-propagateur vermifuge et une porte d\u00e9rob\u00e9e de cl\u00e9 SSH pour t\u00e9l\u00e9charger et ex\u00e9cuter des binaires suppl\u00e9mentaires ou se propager \u00e0 de nouvelles victimes”, a d\u00e9clar\u00e9 Stiv Kupchik, chercheur en s\u00e9curit\u00e9 d’Akamai, dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Mirai, dont le code source a \u00e9t\u00e9 divulgu\u00e9 en 2016, est \u00e0 l’origine d’un certain nombre de r\u00e9seaux de zombies, le plus r\u00e9cent \u00e9tant InfectedSlurs, capable de lancer des attaques par d\u00e9ni de service distribu\u00e9 (DDoS).<\/p>\n Il semble que NoaBot pourrait \u00eatre li\u00e9 \u00e0 une autre campagne de botnet impliquant une famille de logiciels malveillants bas\u00e9s sur Rust connue sous le nom de P2PInfect, qui a r\u00e9cemment re\u00e7u une mise \u00e0 jour pour cibler les routeurs et les appareils IoT.<\/p>\n Ceci est bas\u00e9 sur le fait que les acteurs malveillants ont \u00e9galement exp\u00e9riment\u00e9 l\u2019abandon de P2PInfect \u00e0 la place de NoaBot lors d\u2019attaques r\u00e9centes ciblant les serveurs SSH, ce qui indique des tentatives probables de basculement vers des logiciels malveillants personnalis\u00e9s.<\/p>\n Malgr\u00e9 les fondations Mirai de NaoBot, son module d’\u00e9pandage exploite un scanner SSH pour rechercher les serveurs susceptibles d’\u00eatre infect\u00e9s. attaque de dictionnaire<\/a> afin de les forcer brutalement et d’ajouter une cl\u00e9 publique SSH dans le fichier .ssh\/authorized_keys pour l’acc\u00e8s \u00e0 distance. En option, il peut \u00e9galement t\u00e9l\u00e9charger et ex\u00e9cuter des fichiers binaires suppl\u00e9mentaires apr\u00e8s une exploitation r\u00e9ussie ou se propager \u00e0 de nouvelles victimes.<\/p>\n “NoaBot est compil\u00e9 avec uClibc, ce qui semble changer la fa\u00e7on dont les moteurs antivirus d\u00e9tectent les logiciels malveillants”, a not\u00e9 Kupchik. “Alors que les autres variantes de Mirai sont g\u00e9n\u00e9ralement d\u00e9tect\u00e9es avec une signature Mirai, les signatures antivirus de NoaBot proviennent d’un scanner SSH ou d’un cheval de Troie g\u00e9n\u00e9rique.”<\/p>\n En plus d’incorporer des tactiques d’obscurcissement pour rendre l’analyse difficile, la cha\u00eene d’attaque aboutit finalement au d\u00e9ploiement d’une version modifi\u00e9e du mineur de pi\u00e8ces XMRig.<\/p>\n Ce qui place la nouvelle variante au-dessus des autres campagnes similaires bas\u00e9es sur le botnet Mirai, c’est qu’elle ne contient aucune information sur le pool de minage ou l’adresse du portefeuille, ce qui rend impossible l’\u00e9valuation de la rentabilit\u00e9 du syst\u00e8me de minage illicite de crypto-monnaie.<\/p>\n “Le mineur obscurcit sa configuration et utilise \u00e9galement un pool de minage personnalis\u00e9 pour \u00e9viter d’exposer l’adresse du portefeuille utilis\u00e9e par le mineur”, a d\u00e9clar\u00e9 Kupchik, soulignant un certain niveau de pr\u00e9paration des acteurs de la menace.<\/p>\n Akamai a d\u00e9clar\u00e9 avoir identifi\u00e9 \u00e0 ce jour 849 adresses IP de victimes r\u00e9parties g\u00e9ographiquement \u00e0 travers le monde, avec de fortes concentrations signal\u00e9es en Chine, \u00e0 tel point qu’elles repr\u00e9sentent pr\u00e8s de 10 % de toutes les attaques contre ses honeypots en 2023.<\/p>\n “La m\u00e9thode de d\u00e9placement lat\u00e9ral du logiciel malveillant consiste \u00e0 utiliser de simples attaques par dictionnaire d’informations d’identification SSH”, a d\u00e9clar\u00e9 Kupchik. \u00ab Restreindre l’acc\u00e8s Internet SSH arbitraire \u00e0 votre r\u00e9seau diminue consid\u00e9rablement les risques d’infection. De plus, l’utilisation de mots de passe forts (et non g\u00e9n\u00e9r\u00e9s par d\u00e9faut ou al\u00e9atoires) rend \u00e9galement votre r\u00e9seau plus s\u00e9curis\u00e9, car le malware utilise une liste de base de mots de passe. mots de passe devinables<\/a>“.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/NoaBot-le-dernier-botnet-base-sur-Mirai-ciblant-les-serveurs.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/div>\n