Les routeurs Archer TP-Link non corrig\u00e9s sont devenus la cible d’une nouvelle campagne de botnet surnomm\u00e9e Ballista, selon de nouvelles conclusions de l’\u00e9quipe Cato Ctrl.<\/p>\n
“Le botnet exploite une vuln\u00e9rabilit\u00e9 d’ex\u00e9cution de code distant (RCE) dans les routeurs d’archer TP-Link (CVE-2023-1389) pour se propager automatiquement sur Internet”, a d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Ofek Vardi et Matan Mttelman dans une technique dans une technique rapport<\/a> partag\u00e9 avec les actualit\u00e9s des pirates.<\/p>\n CVE-2023-1389 est un d\u00e9faut de s\u00e9curit\u00e9 \u00e0 haute s\u00e9v\u00e9rit\u00e9 ayant un impact sur les routeurs Archer AX-21 TP-Link qui pourraient conduire \u00e0 l’injection de commande, ce qui pourrait ensuite ouvrir la voie \u00e0 l’ex\u00e9cution du code distant.<\/p>\n La premi\u00e8re preuve d’exploitation active de la faille remonte \u00e0 avril 2023, avec des acteurs de menace non identifi\u00e9s qui l’utilisent pour abandonner le malware Mirai Botnet. Depuis lors, il a \u00e9galement \u00e9t\u00e9 maltrait\u00e9 pour propager d’autres familles de logiciels malveillants comme Condi et AndroxGH0st.<\/p>\n Cato Ctrl a d\u00e9clar\u00e9 avoir d\u00e9tect\u00e9 la campagne de Ballista le 10 janvier 2025. La plus r\u00e9cente tentative d’exploitation a \u00e9t\u00e9 enregistr\u00e9e le 17 f\u00e9vrier.<\/p>\n La s\u00e9quence d’attaque implique l’utilisation d’un compte-gouttes malware, un script shell (“dropbpb.sh”) con\u00e7u pour r\u00e9cup\u00e9rer et ex\u00e9cuter le binaire principal sur le syst\u00e8me cible pour diverses architectures syst\u00e8me telles que MIPS, MIPSEL, ARMV5L, ARMV7L et X86_64.<\/p>\n Une fois ex\u00e9cut\u00e9, le logiciel malveillant \u00e9tablit un canal de commande et de contr\u00f4le crypt\u00e9 (C2) sur le port 82 afin de prendre le contr\u00f4le de l’appareil.<\/p>\n “Cela permet aux commandes de Shell en cours d’ex\u00e9cution de mener d’autres attaques RCE et d\u00e9ni de service (DOS)”, ont d\u00e9clar\u00e9 les chercheurs. “De plus, le malware tente de lire des fichiers sensibles sur le syst\u00e8me local.”<\/p>\n Certaines des commandes prises en charge sont r\u00e9pertori\u00e9es ci-dessous –<\/p>\n De plus, il est capable de mettre fin aux instances pr\u00e9c\u00e9dentes et d’effacer sa propre pr\u00e9sence une fois l’ex\u00e9cution au d\u00e9but. Il est \u00e9galement con\u00e7u pour se propager \u00e0 d’autres routeurs en essayant d’exploiter la faille.<\/p>\n L’utilisation de l’emplacement de l’adresse IP C2 (2.237.57[.]70) et la pr\u00e9sence de cordes en langue italienne dans les binaires malveillants sugg\u00e8rent l’implication d’un acteur de menace italien inconnu, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9.<\/p>\n Cela dit, il semble que les logiciels malveillants soient en cours de d\u00e9veloppement actif \u00e9tant donn\u00e9 que l’adresse IP n’est plus fonctionnelle et qu’il existe une nouvelle variante du compte-gouttes qui utilise des domaines r\u00e9seau TO au lieu d’une adresse IP \u00e0 code dur.<\/p>\n Une recherche sur les censures de la plate-forme de gestion de la surface d’attaque r\u00e9v\u00e8le que plus de 6 000 appareils<\/a> sont infect\u00e9s par Ballista. Les infections sont concentr\u00e9es autour du Br\u00e9sil, de la Pologne, du Royaume-Uni, de la Bulgarie et de la Turquie.<\/p>\n Le botnet cible les organisations de fabrication, de soins m\u00e9dicaux \/ de sant\u00e9, de services et de technologie aux \u00c9tats-Unis, en Australie, en Chine et au Mexique.<\/p>\n “Bien que cet \u00e9chantillon de malware partage des similitudes avec d’autres botnets, il reste distinct des botnets largement utilis\u00e9s tels que Mirai et Mozi”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Ballista-Botnet-exploite-la-vulnerabilite-TP-Link-non-corrigee-infecte-plus.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n\n
<\/a><\/center><\/div>\n