Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9voil\u00e9 ce qu’ils appellent un logiciel malveillant Linux “presque impossible \u00e0 d\u00e9tecter” qui pourrait \u00eatre transform\u00e9 en arme pour des syst\u00e8mes infect\u00e9s par des portes d\u00e9rob\u00e9es.<\/p>\n
Doubl\u00e9 Symbiote<\/strong> par les soci\u00e9t\u00e9s de renseignement sur les menaces BlackBerry et Intezer, le malware furtif est ainsi nomm\u00e9 pour sa capacit\u00e9 \u00e0 se dissimuler dans les processus en cours d’ex\u00e9cution et le trafic r\u00e9seau et \u00e0 drainer les ressources d’une victime comme un parasite<\/a>.<\/p>\n On pense que les op\u00e9rateurs derri\u00e8re Symbiote ont commenc\u00e9 le d\u00e9veloppement du malware en novembre 2021, l’acteur mena\u00e7ant l’utilisant principalement pour cibler le secteur financier en Am\u00e9rique latine, y compris des banques comme Banco do Brasil et Caixa.<\/p>\n “L’objectif principal de Symbiote est de capturer les informations d’identification et de faciliter l’acc\u00e8s par une porte d\u00e9rob\u00e9e \u00e0 la machine de la victime”, ont d\u00e9clar\u00e9 les chercheurs Joakim Kennedy et Ismael Valenzuela dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News. “Ce qui diff\u00e9rencie Symbiote des autres logiciels malveillants Linux, c’est qu’il infecte les processus en cours d’ex\u00e9cution plut\u00f4t que d’utiliser un fichier ex\u00e9cutable autonome pour infliger des dommages.”<\/p>\n Il y parvient en tirant parti d’une fonctionnalit\u00e9 Linux native appel\u00e9e LD_PRELOAD<\/a> – une m\u00e9thode pr\u00e9c\u00e9demment employ\u00e9e par des logiciels malveillants tels que Pro-Ocean et Facefish – afin d’\u00eatre charg\u00e9e par le lieur dynamique<\/a> dans tous les processus en cours d’ex\u00e9cution et infecter l’h\u00f4te.<\/p>\n En plus de cacher sa pr\u00e9sence sur le syst\u00e8me de fichiers, Symbiote est \u00e9galement capable de masquer son trafic r\u00e9seau en utilisant la fonction \u00e9tendue Berkeley Packet Filter (eBPF). Ceci est r\u00e9alis\u00e9 en s’injectant dans le processus d’un logiciel d’inspection et en utilisant BPF pour filtrer les r\u00e9sultats qui r\u00e9v\u00e9leraient son activit\u00e9.<\/p>\n Lors du d\u00e9tournement de tous les processus en cours d’ex\u00e9cution, Symbiote active la fonctionnalit\u00e9 rootkit pour masquer davantage les preuves de sa pr\u00e9sence et fournit une porte d\u00e9rob\u00e9e permettant \u00e0 l’auteur de la menace de se connecter \u00e0 la machine et d’ex\u00e9cuter des commandes privil\u00e9gi\u00e9es. Il a \u00e9galement \u00e9t\u00e9 observ\u00e9 que les informations d’identification captur\u00e9es sont crypt\u00e9es dans des fichiers se faisant passer pour en-t\u00eate C<\/a> des dossiers.<\/p>\n Ce n’est pas la premi\u00e8re fois qu’un logiciel malveillant dot\u00e9 de capacit\u00e9s similaires est rep\u00e9r\u00e9 dans la nature. En f\u00e9vrier 2014, ESET a r\u00e9v\u00e9l\u00e9 une porte d\u00e9rob\u00e9e Linux appel\u00e9e \u00c9bury<\/a> qui est con\u00e7u pour voler les informations d’identification OpenSSH et maintenir l’acc\u00e8s \u00e0 un serveur compromis.<\/p>\n “\u00c9tant donn\u00e9 que le logiciel malveillant fonctionne comme un rootkit au niveau de l’utilisateur, il peut \u00eatre difficile de d\u00e9tecter une infection”, ont conclu les chercheurs. “La t\u00e9l\u00e9m\u00e9trie r\u00e9seau peut \u00eatre utilis\u00e9e pour d\u00e9tecter les requ\u00eates DNS anormales et les outils de s\u00e9curit\u00e9 tels que les AV et les EDR doivent \u00eatre li\u00e9s de mani\u00e8re statique pour s’assurer qu’ils ne sont pas” infect\u00e9s “par les rootkits de l’espace utilisateur.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Le-package-PyPI-populaire-ctx-et-la-bibliotheque-PHP-phpass.png\")
<\/a><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/06\/1654780896_461_Symbiote-un-malware-Linux-furtif-ciblant-le-secteur-financier-latino-americain.jpg\")
<\/div>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n