Les chercheurs en cybers\u00e9curit\u00e9 ont identifi\u00e9 une nouvelle attaque qui exploite les mauvaises configurations d’Apache Hadoop et Flink pour d\u00e9ployer des mineurs de cryptomonnaie dans des environnements cibl\u00e9s.<\/p>\n
“Cette attaque est particuli\u00e8rement intrigante en raison de l’utilisation par l’attaquant de packers et de rootkits pour dissimuler le logiciel malveillant”, ont d\u00e9clar\u00e9 Nitzan Yaakov et Assaf Morag, chercheurs en s\u00e9curit\u00e9 chez Aqua. dit<\/a> dans une analyse publi\u00e9e plus t\u00f4t cette semaine. “Le malware supprime le contenu de r\u00e9pertoires sp\u00e9cifiques et modifie les configurations du syst\u00e8me pour \u00e9chapper \u00e0 la d\u00e9tection.”<\/p>\n La cha\u00eene d’infection ciblant Hadoop exploite une mauvaise configuration dans le YARN (Yet Another Resource Negoator) Gestionnaire de ressources<\/a>qui est responsable du suivi des ressources dans un cluster et de la planification des applications.<\/p>\n Plus pr\u00e9cis\u00e9ment, la mauvaise configuration peut \u00eatre exploit\u00e9e par un acteur malveillant distant et non authentifi\u00e9 pour ex\u00e9cuter du code arbitraire au moyen d’une requ\u00eate HTTP contrefaite, sous r\u00e9serve des privil\u00e8ges de l’utilisateur sur le n\u0153ud o\u00f9 le code est ex\u00e9cut\u00e9.<\/p>\n De m\u00eame, les attaques visant Apache Flink visent une mauvaise configuration qui permet \u00e0 un attaquant distant d\u2019ex\u00e9cuter du code sans aucune authentification.<\/p>\n Ces erreurs de configuration ne sont pas nouvelles et ont \u00e9t\u00e9 exploit\u00e9es dans le pass\u00e9 par des groupes \u00e0 motivation financi\u00e8re comme TeamTNT, connu pour son historique de ciblage des environnements Docker et Kubernetes \u00e0 des fins de cryptojacking et d’autres activit\u00e9s malveillantes.<\/p>\n Mais ce qui rend la derni\u00e8re s\u00e9rie d\u2019attaques remarquable, c\u2019est l\u2019utilisation de rootkits pour masquer les processus de crypto mining apr\u00e8s avoir pris un premier pied dans les applications Hadoop et Flink.<\/p>\n “L’attaquant envoie une requ\u00eate non authentifi\u00e9e pour d\u00e9ployer une nouvelle application”, expliquent les chercheurs. “L’attaquant est capable d’ex\u00e9cuter un code \u00e0 distance en envoyant une requ\u00eate POST au YARN, demandant de lancer la nouvelle application avec la commande de l’attaquant.”<\/p>\n La commande est sp\u00e9cialement con\u00e7ue pour effacer le r\u00e9pertoire \/tmp de tout le contenu existant, r\u00e9cup\u00e9rer un fichier appel\u00e9 “dca” sur un serveur distant et l’ex\u00e9cuter, puis supprimer \u00e0 nouveau tous les fichiers du r\u00e9pertoire \/tmp.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/01\/Les-cryptomineurs-ciblent-Apache-Hadoop-et-Flink-mal-configures-avec.jpg\")
<\/a><\/center><\/div>\n