{"id":1157830,"date":"2024-02-20T14:06:35","date_gmt":"2024-02-20T16:06:35","guid":{"rendered":"https:\/\/teknomers.com\/fr\/nouveau-logiciel-malveillant-migo-ciblant-les-serveurs-redis-pour-lextraction-de-crypto-monnaie\/"},"modified":"2024-02-20T14:06:45","modified_gmt":"2024-02-20T16:06:45","slug":"nouveau-logiciel-malveillant-migo-ciblant-les-serveurs-redis-pour-lextraction-de-crypto-monnaie","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/nouveau-logiciel-malveillant-migo-ciblant-les-serveurs-redis-pour-lextraction-de-crypto-monnaie\/","title":{"rendered":"Nouveau logiciel malveillant Migo ciblant les serveurs Redis pour l’extraction de crypto-monnaie"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>20 f\u00e9vrier 2024<\/span>\ue804<\/i>R\u00e9daction<\/span><\/span>S\u00e9curit\u00e9 du serveur \/ Cryptojacking<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Une nouvelle campagne de malware a \u00e9t\u00e9 observ\u00e9e ciblant les serveurs Redis pour un acc\u00e8s initial dans le but ultime d’extraire de la crypto-monnaie sur des h\u00f4tes Linux compromis.<\/p>\n

“Cette campagne particuli\u00e8re implique l’utilisation d’un certain nombre de nouvelles techniques d’affaiblissement du syst\u00e8me contre le magasin de donn\u00e9es lui-m\u00eame”, a d\u00e9clar\u00e9 Matt Muir, chercheur en s\u00e9curit\u00e9 chez Cado. dit<\/a> dans un rapport technique.<\/p>\n

L’attaque de cryptojacking est facilit\u00e9e par un malware nomm\u00e9 Migo, un binaire Golang ELF dot\u00e9 d’un obfuscation au moment de la compilation et de la capacit\u00e9 de persister sur les machines Linux.<\/p>\n

\"La<\/a><\/center><\/div>\n

La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 la campagne apr\u00e8s avoir identifi\u00e9 une \u00ab s\u00e9rie inhabituelle de commandes \u00bb ciblant ses pots de miel Redis, con\u00e7ues pour r\u00e9duire les d\u00e9fenses de s\u00e9curit\u00e9 en d\u00e9sactivant les options de configuration suivantes :<\/p>\n

On soup\u00e7onne que ces options sont d\u00e9sactiv\u00e9es afin d’envoyer des commandes suppl\u00e9mentaires au serveur Redis \u00e0 partir de r\u00e9seaux externes et de faciliter une exploitation future sans attirer beaucoup d’attention.<\/p>\n

Cette \u00e9tape est ensuite suivie par les acteurs malveillants qui configurent deux cl\u00e9s Redis, l’une pointant vers une cl\u00e9 SSH contr\u00f4l\u00e9e par l’attaquant et l’autre vers une t\u00e2che cron qui r\u00e9cup\u00e8re la charge utile principale malveillante \u00e0 partir d’un service de transfert de fichiers nomm\u00e9 Transfer.sh, une technique pr\u00e9c\u00e9demment rep\u00e9r\u00e9e. d\u00e9but 2023.<\/p>\n

Le script shell permettant de r\u00e9cup\u00e9rer Migo \u00e0 l’aide de Transfer.sh est int\u00e9gr\u00e9 dans un fichier Pastebin qui est, \u00e0 son tour, obtenu \u00e0 l’aide d’une commande curl ou wget.<\/p>\n\n\n\n\n
\"Serveurs<\/a><\/td>\n<\/tr>\n
Persistance<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Le binaire ELF bas\u00e9 sur Go, en plus d’incorporer des m\u00e9canismes pour r\u00e9sister \u00e0 l’ing\u00e9nierie inverse, agit comme un t\u00e9l\u00e9chargeur pour un programme d’installation XMRig h\u00e9berg\u00e9 sur GitHub. Il est \u00e9galement charg\u00e9 d’effectuer une s\u00e9rie d’\u00e9tapes pour \u00e9tablir la persistance, mettre fin aux mineurs concurrents et lancer le mineur.<\/p>\n

En plus de cela, Migo d\u00e9sactive Linux \u00e0 s\u00e9curit\u00e9 am\u00e9lior\u00e9e (SELinux<\/a>) et recherche des scripts de d\u00e9sinstallation pour les agents de surveillance regroup\u00e9s dans les instances de calcul de fournisseurs de cloud tels que Qcloud et Alibaba Cloud. Il d\u00e9ploie en outre une version modifi\u00e9e (\u00ab libsystemd.so \u00bb) d’un rootkit en mode utilisateur populaire nomm\u00e9 libprocesshider pour masquer les processus et les artefacts sur le disque.<\/p>\n

Il convient de souligner que ces actions recoupent les tactiques adopt\u00e9es par des groupes de cryptojacking connus comme TeamTNT, Chien de garde<\/a>Rocke et les acteurs mena\u00e7ants associ\u00e9s au malware SkidMap.<\/p>\n

\"La<\/a><\/center><\/div>\n

“Il est int\u00e9ressant de noter que Migo semble parcourir de mani\u00e8re r\u00e9cursive les fichiers et les r\u00e9pertoires sous \/etc”, a not\u00e9 Muir. “Le malware lira simplement les fichiers situ\u00e9s \u00e0 ces emplacements et ne fera rien avec le contenu.”<\/p>\n

“Une th\u00e9orie est qu’il pourrait s’agir d’une (faible) tentative de confondre les solutions de bac \u00e0 sable et d’analyse dynamique en effectuant un grand nombre d’actions b\u00e9nignes, aboutissant \u00e0 une classification non malveillante.”<\/p>\n

Une autre hypoth\u00e8se est que le malware recherche un artefact sp\u00e9cifique \u00e0 un environnement cible, bien que Cado ait d\u00e9clar\u00e9 n’avoir trouv\u00e9 aucune preuve pour \u00e9tayer ce raisonnement.<\/p>\n

“Migo d\u00e9montre que les attaquants ax\u00e9s sur le cloud continuent d’affiner leurs techniques et d’am\u00e9liorer leur capacit\u00e9 \u00e0 exploiter les services Web”, a d\u00e9clar\u00e9 Muir.<\/p>\n

“Bien que libprocesshider soit fr\u00e9quemment utilis\u00e9 dans les campagnes de cryptojacking, cette variante particuli\u00e8re inclut la possibilit\u00e9 de masquer les artefacts sur le disque en plus des processus malveillants eux-m\u00eames.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n