Les universit\u00e9s et les organisations gouvernementales en Am\u00e9rique du Nord et en Asie ont \u00e9t\u00e9 cibl\u00e9es par un logiciel malveillant Linux auparavant sans papiers appel\u00e9 Auto Color entre novembre et d\u00e9cembre 2024, selon de nouvelles conclusions de Palo Alto Networks Unit 42.<\/p>\n
“Une fois install\u00e9, la couleur automatique permet aux acteurs de menace un acc\u00e8s \u00e0 distance complet aux machines compromises, ce qui rend tr\u00e8s difficile la supprimer sans logiciel sp\u00e9cialis\u00e9”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Alex Armstrong dit<\/a> Dans une r\u00e9daction technique du malware.<\/p>\n La couleur automatique est ainsi nomm\u00e9e en fonction du nom du fichier Les renomm\u00e9s de charge utile initiaux lui-m\u00eame. On ne sait actuellement pas comment il atteint ses objectifs, mais ce qui est sant, c’est qu’il oblige la victime \u00e0 l’ex\u00e9cuter explicitement sur leur machine Linux.<\/p>\n Un aspect notable du malware est l’arsenal des astuces qu’il utilise pour \u00e9chapper \u00e0 la d\u00e9tection. Cela comprend l’utilisation de noms de fichiers apparemment innocul\u00e9s comme la porte ou l’\u0153uf, la dissimulation des connexions de commande et de contr\u00f4le (C2) et de tirer parti des algorithmes de chiffrement propri\u00e9taires pour le masquage des informations de communication et de configuration.<\/p>\n Une fois lanc\u00e9 avec des privil\u00e8ges racine, il continue d’installer un implant de biblioth\u00e8que malveillant nomm\u00e9 “libcext.so.2”, copies et renomm\u00e9s \u00e0 \/ var \/ log \/ cross \/ auto-couleur, et apporte des modifications \u00e0 “\/etc\/ld.preload” pour \u00e9tablir une persistance sur l’h\u00f4te.<\/p>\n “Si l’utilisateur actuel manque de privil\u00e8ges racine, le malware ne proc\u00e9dera pas \u00e0 l’installation de l’implant de biblioth\u00e8que \u00e9vasif sur le syst\u00e8me”, a d\u00e9clar\u00e9 Armstrong. “Il se produira autant que possible dans ses phases ult\u00e9rieures sans cette biblioth\u00e8que.”<\/p>\n L’implant de biblioth\u00e8que est \u00e9quip\u00e9 pour accrocher passivement les fonctions utilis\u00e9es dans libc<\/a> pour intercepter le appel syst\u00e8me ouvert ()<\/a>qu’il utilise pour masquer les communications C2 en modifiant “\/ proc \/ net \/ tcp”, un fichier qui contient des informations sur toutes les connexions r\u00e9seau actives. Une technique similaire a \u00e9t\u00e9 adopt\u00e9e par un autre logiciel malveillant Linux appel\u00e9 Symbiote.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Le-nouveau-Linux-Malware-Auto-Color-accorde-des-pirates-a.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n