- \n
- Botnet Muhstik<\/b> exploite une faille critique d’Apache RocketMQ (CVE-2023-33246) pour ex\u00e9cution de code \u00e0 distance<\/b>ciblant les serveurs Linux et les appareils IoT pour Attaques DDoS et extraction de cryptomonnaie<\/b>.<\/li>\n
- L’infection implique l’ex\u00e9cution d’un script shell \u00e0 partir d’une adresse IP distante, le t\u00e9l\u00e9chargement du Binaire du malware Muhstik (“pty3”)<\/b>et assurer la persistance en copiant dans plusieurs r\u00e9pertoires et en modifiant les fichiers syst\u00e8me.<\/li>\n
- Avec plus de 5\u00a0000 instances Apache RocketMQ vuln\u00e9rables<\/b> toujours expos\u00e9es, les organisations doivent mettre \u00e0 jour vers la derni\u00e8re version<\/b> pour att\u00e9nuer les risques, tout en s\u00e9curisant les serveurs MS-SQL contre les attaques par force brute et en garantissant des changements r\u00e9guliers de mots de passe.<\/li>\n<\/ul>\n<\/div>\n
Le botnet par d\u00e9ni de service distribu\u00e9 (DDoS) connu sous le nom de Muhstik<\/strong> a \u00e9t\u00e9 observ\u00e9 en train d’exploiter une faille de s\u00e9curit\u00e9 d\u00e9sormais corrig\u00e9e affectant Apache RocketMQ pour coopter des serveurs sensibles et \u00e9tendre son \u00e9chelle.<\/p>\n
“Muhstik est une menace bien connue ciblant les appareils IoT et les serveurs bas\u00e9s sur Linux, connue pour sa capacit\u00e9 \u00e0 infecter des appareils et \u00e0 les utiliser pour extraire des cryptomonnaies et lancer des attaques par d\u00e9ni de service distribu\u00e9 (DDoS),” a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua. dit<\/a> dans un rapport publi\u00e9 cette semaine.<\/p>\n
Document\u00e9es pour la premi\u00e8re fois en 2018, les campagnes d’attaque impliquant des logiciels malveillants ont l’habitude d’exploiter les failles de s\u00e9curit\u00e9 connues, en particulier celles li\u00e9es aux applications Web, \u00e0 des fins de propagation.<\/p>\n
La derni\u00e8re addition \u00e0 la liste des vuln\u00e9rabilit\u00e9s exploit\u00e9es est CVE-2023-33246 (score CVSS : 9,8), une faille de s\u00e9curit\u00e9 critique<\/a> affectant Apache RocketMQ qui permet \u00e0 un attaquant distant et non authentifi\u00e9 d’ex\u00e9cuter du code \u00e0 distance en falsifiant le contenu du protocole RocketMQ ou en utilisant la fonction de configuration de mise \u00e0 jour.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/1718014063_881_Sticky-Werewolf-etend-ses-cibles-de-cyberattaques-en-Russie-et.png\")
<\/a><\/center><\/div>\nUne fois que la faille est exploit\u00e9e avec succ\u00e8s pour obtenir un acc\u00e8s initial, l’acteur malveillant proc\u00e8de \u00e0 l’ex\u00e9cution d’un script shell h\u00e9berg\u00e9 sur une adresse IP distante, qui est ensuite charg\u00e9 de r\u00e9cup\u00e9rer le binaire Muhstik (\u00ab pty3 \u00bb) depuis un autre serveur.<\/p>\n
“Apr\u00e8s avoir r\u00e9ussi \u00e0 t\u00e9l\u00e9charger la charge utile malveillante en exploitant la vuln\u00e9rabilit\u00e9 RocketMQ, l’attaquant est capable d’ex\u00e9cuter son code malveillant, qui t\u00e9l\u00e9charge le malware Muhstik”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Nitzan Yaakov.<\/p>\n
La persistance sur l’h\u00f4te est obtenue en copiant le binaire du malware dans plusieurs r\u00e9pertoires et en \u00e9ditant le fichier \/etc\/inittab – qui contr\u00f4le les processus \u00e0 d\u00e9marrer lors du d\u00e9marrage d’un serveur Linux – pour red\u00e9marrer automatiquement le processus.<\/p>\n
De plus, le fait de nommer le binaire “pty3” est probablement une tentative de se faire passer pour un pseudoterminal (“pty<\/a>“) et \u00e9chappe \u00e0 la d\u00e9tection. Une autre technique d’\u00e9vasion consiste \u00e0 copier le malware dans des r\u00e9pertoires tels que \/dev\/shm, \/var\/tmp, \/run\/lock et \/run pendant la phase de persistance, ce qui lui permet d’\u00eatre ex\u00e9cut\u00e9 directement depuis m\u00e9moire et \u00e9viter de laisser des traces sur le syst\u00e8me.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/1718336929_409_Le-botnet-Muhstik-exploite-la-faille-Apache-RocketMQ-pour-etendre.png\")
<\/a><\/div>\nMuhstik est \u00e9quip\u00e9 de fonctionnalit\u00e9s permettant de collecter des m\u00e9tadonn\u00e9es du syst\u00e8me, de se d\u00e9placer lat\u00e9ralement vers d’autres appareils via un shell s\u00e9curis\u00e9 (SSH) et, finalement, d’\u00e9tablir un contact avec un domaine de commande et de contr\u00f4le (C2) pour recevoir des instructions suppl\u00e9mentaires \u00e0 l’aide du chat de relais Internet (IRC<\/a>) protocole.<\/p>\n
L’objectif final du logiciel malveillant est de militariser les appareils compromis pour effectuer diff\u00e9rents types d’attaques par inondation contre des cibles d’int\u00e9r\u00eat, submergeant ainsi leurs ressources r\u00e9seau et d\u00e9clenchant une condition de d\u00e9ni de service.<\/p>\n
Avec 5\u00a0216 instances vuln\u00e9rables d’Apache RocketMQ toujours expos\u00e9es sur Internet apr\u00e8s plus d’un an de divulgation publique de la faille, il est essentiel que les organisations prennent des mesures pour mettre \u00e0 jour vers la derni\u00e8re version afin d’att\u00e9nuer les menaces potentielles.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Sticky-Werewolf-etend-ses-cibles-de-cyberattaques-en-Russie-et.jpg\")
<\/a><\/center><\/div>\n“De plus, lors de campagnes pr\u00e9c\u00e9dentes, une activit\u00e9 de cryptominage a \u00e9t\u00e9 d\u00e9tect\u00e9e apr\u00e8s l’ex\u00e9cution du malware Muhstik”, a d\u00e9clar\u00e9 Yaakov. “Ces objectifs vont de pair, car les attaquants s’efforcent de propager et d’infecter davantage de machines, ce qui les aide dans leur mission consistant \u00e0 extraire davantage de crypto-monnaie en utilisant l’\u00e9nergie \u00e9lectrique des machines compromises.”<\/p>\n
Cette divulgation intervient alors que l’AhnLab Security Intelligence Center (ASEC) a r\u00e9v\u00e9l\u00e9 que les serveurs MS-SQL mal s\u00e9curis\u00e9s sont cibl\u00e9s par des acteurs malveillants contre divers types de logiciels malveillants, allant des ransomwares et chevaux de Troie d’acc\u00e8s \u00e0 distance aux proxywares.<\/p>\n
“Les administrateurs doivent utiliser des mots de passe difficiles \u00e0 deviner pour leurs comptes et les modifier p\u00e9riodiquement pour prot\u00e9ger le serveur de base de donn\u00e9es contre les attaques par force brute et les attaques par dictionnaire”, ASEC dit<\/a>. “Ils doivent \u00e9galement appliquer les derniers correctifs pour pr\u00e9venir les attaques de vuln\u00e9rabilit\u00e9.”<\/p>\n
<\/p>\n
- L’infection implique l’ex\u00e9cution d’un script shell \u00e0 partir d’une adresse IP distante, le t\u00e9l\u00e9chargement du Binaire du malware Muhstik (“pty3”)<\/b>et assurer la persistance en copiant dans plusieurs r\u00e9pertoires et en modifiant les fichiers syst\u00e8me.<\/li>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Le-botnet-Muhstik-exploite-la-faille-Apache-RocketMQ-pour-etendre.png\")
<\/a><\/center><\/div>\n