Les chercheurs en cybers\u00e9curit\u00e9 ont fait la lumi\u00e8re sur un acteur chinois nomm\u00e9 SecShow qui a \u00e9t\u00e9 observ\u00e9 en train de mettre en place un syst\u00e8me de noms de domaine (DNS) \u00e0 l\u2019\u00e9chelle mondiale depuis au moins juin 2023.<\/p>\n
L’adversaire, selon les chercheurs en s\u00e9curit\u00e9 d’Infoblox, le Dr Ren\u00e9e Burton et Dave Mitchell, op\u00e8re \u00e0 partir du China Education and Research Network (CERNET<\/a>), un projet financ\u00e9 par le gouvernement chinois.<\/p>\n “Ces sondes cherchent \u00e0 trouver et \u00e0 mesurer les r\u00e9ponses DNS au niveau des r\u00e9solveurs ouverts”, expliquent-ils. dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re. “L’objectif final des op\u00e9rations SecShow est inconnu, mais les informations collect\u00e9es peuvent \u00eatre utilis\u00e9es \u00e0 des fins malveillantes et ne profitent qu’\u00e0 l’acteur.”<\/p>\n Cela dit, certaines preuves sugg\u00e8rent que cela pourrait avoir \u00e9t\u00e9 li\u00e9 \u00e0 une sorte de recherche universitaire li\u00e9e \u00e0 \u00ab\u00a0l’ex\u00e9cution de mesures \u00e0 l’aide de techniques d’usurpation d’adresse IP sur des domaines au sein de secshow.net\u00a0\u00bb en utilisant la m\u00eame technique que le Projet de r\u00e9solution ferm\u00e9<\/a>.<\/p>\n Cependant, cela soul\u00e8ve plus de questions qu’il n’en r\u00e9pond, notamment en ce qui concerne la port\u00e9e compl\u00e8te du projet, l’objectif de la collecte des donn\u00e9es, le choix d’une adresse Gmail g\u00e9n\u00e9rique pour recueillir les commentaires et le manque g\u00e9n\u00e9ral de transparence.<\/p>\n Les r\u00e9solveurs ouverts font r\u00e9f\u00e9rence \u00e0 des serveurs DNS capables d’accepter et de r\u00e9soudre les noms de domaine de mani\u00e8re r\u00e9cursive pour n’importe quelle partie sur Internet, ce qui les rend pr\u00eats \u00e0 \u00eatre exploit\u00e9s par des acteurs malveillants pour lancer un d\u00e9ni de service distribu\u00e9 (DDoS<\/a>) des attaques telles qu’un Attaque par amplification DNS<\/a>.<\/p>\n Au c\u0153ur des sondes se trouve l’utilisation des serveurs de noms CERNET pour identifier les r\u00e9solveurs DNS ouverts et calculer les r\u00e9ponses DNS. Cela implique l’envoi d’une requ\u00eate DNS depuis une origine encore ind\u00e9termin\u00e9e vers un r\u00e9solveur ouvert, ce qui am\u00e8ne le serveur de noms contr\u00f4l\u00e9 par SecShow \u00e0 renvoyer une adresse IP al\u00e9atoire.<\/p>\n Chose int\u00e9ressante, ces serveurs de noms sont configur\u00e9s pour renvoyer une nouvelle adresse IP al\u00e9atoire \u00e0 chaque fois que la requ\u00eate est effectu\u00e9e \u00e0 partir d’un r\u00e9solveur ouvert diff\u00e9rent, un comportement qui d\u00e9clenche une amplification des requ\u00eates par le produit Palo Alto Cortex Xpanse.<\/p>\n “Cortex Xpanse traite le nom de domaine dans la requ\u00eate DNS comme une URL et tente de r\u00e9cup\u00e9rer le contenu de l’adresse IP al\u00e9atoire de ce nom de domaine”, ont expliqu\u00e9 les chercheurs. “Les pare-feu, notamment Palo Alto et Check Point, ainsi que d’autres dispositifs de s\u00e9curit\u00e9, effectuent un filtrage des URL lorsqu’ils re\u00e7oivent la demande de Cortex Xpanse.”<\/p>\n Cette \u00e9tape de filtrage lance une nouvelle requ\u00eate DNS pour le domaine qui am\u00e8ne le serveur de noms \u00e0 renvoyer une adresse IP al\u00e9atoire diff\u00e9rente.<\/p>\n Il est important de noter que certains aspects de ces activit\u00e9s d’analyse ont d\u00e9j\u00e0 \u00e9t\u00e9 divulgu\u00e9s par Dataplane.org<\/a> et les chercheurs de l’Unit\u00e9 42 au cours des deux derniers mois. Les serveurs de noms SecShow ne sont plus r\u00e9actifs depuis la mi-mai 2024.<\/p>\n SecShow est le deuxi\u00e8me acteur mena\u00e7ant li\u00e9 \u00e0 la Chine apr\u00e8s Muddling Meerkat \u00e0 mener des activit\u00e9s de sondage DNS \u00e0 grande \u00e9chelle sur Internet.<\/p>\n “Les requ\u00eates Muddling Meerkat sont con\u00e7ues pour se m\u00e9langer au trafic DNS mondial et [have] est rest\u00e9 inaper\u00e7u pendant plus de quatre ans, tandis que les requ\u00eates Secshow sont des encodages transparents des adresses IP et des informations de mesure”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n Cette \u00e9volution intervient alors qu’un acteur malveillant motiv\u00e9 par des raisons financi\u00e8res a \u00e9t\u00e9 d\u00e9couvert faisant la publicit\u00e9 d’un nouveau service de botnet appel\u00e9 Rebirth pour aider \u00e0 faciliter Attaques DDoS<\/a>.<\/p>\n Le botnet DDoS-as-a-Service (DaaS) est \u00ab bas\u00e9 sur la famille de logiciels malveillants Mirai, et les op\u00e9rateurs annoncent ses services via Telegram et une boutique en ligne (rebirthltd.mysellix).[.]io),” l’\u00e9quipe de recherche sur les menaces Sysdig dit<\/a> dans une analyse r\u00e9cente.<\/p>\n La soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 a d\u00e9clar\u00e9 que Rebirth (alias Vulcan) se concentre principalement sur la communaut\u00e9 du jeu vid\u00e9o, louant le botnet \u00e0 d’autres acteurs \u00e0 diff\u00e9rents niveaux de prix pour cibler les serveurs de jeux \u00e0 des fins financi\u00e8res. Les premi\u00e8res preuves de l\u2019utilisation du botnet dans la nature remontent \u00e0 2019.<\/p>\n Le forfait le moins cher, baptis\u00e9 Rebirth Basic, co\u00fbte 15 $, tandis que les niveaux Premium, Advanced et Diamond co\u00fbtent respectivement 47 $, 55 $ et 73 $. Il existe \u00e9galement un plan Rebirth API ACCESS vendu 53 $.<\/p>\n Le malware Rebirth prend en charge la fonctionnalit\u00e9 permettant de lancer des attaques DDoS sur les protocoles TCP et UDP, tels que Inondation TCP ACK<\/a>, Inondation TCP SYN<\/a>et Inondation UDP<\/a>.<\/p>\n Ce n\u2019est pas la premi\u00e8re fois que des serveurs de jeux sont cibl\u00e9s par des botnets DDoS. En d\u00e9cembre 2022, Microsoft a divulgu\u00e9 les d\u00e9tails d’un autre botnet nomm\u00e9 MCCrash, con\u00e7u pour cibler les serveurs Minecraft priv\u00e9s.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Lacteur-chinois-SecShow-mene-des-enquetes-DNS-massives-a-lechelle.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\nRebirth Botnet propose des services DDoS<\/h2>\n
<\/a><\/div>\n<\/a><\/center><\/div>\n