Un nouveau rootkit secret du noyau Linux nomm\u00e9 Syslog<\/strong> a \u00e9t\u00e9 rep\u00e9r\u00e9 en cours de d\u00e9veloppement dans la nature et masquant une charge utile malveillante qui peut \u00eatre r\u00e9quisitionn\u00e9e \u00e0 distance par un adversaire \u00e0 l’aide d’un paquet de trafic r\u00e9seau magique<\/a>.<\/p>\n “Le rootkit Syslogk est fortement bas\u00e9 sur Adore-Ng mais int\u00e8gre de nouvelles fonctionnalit\u00e9s rendant l’application en mode utilisateur et le rootkit du noyau difficiles \u00e0 d\u00e9tecter”, ont d\u00e9clar\u00e9 David \u00c1lvarez et Jan Neduchal, chercheurs en s\u00e9curit\u00e9 chez Avast. a dit<\/a> dans un rapport publi\u00e9 lundi.<\/p>\n Adore-Ng, un rootkit open source<\/a> disponible depuis 2004, donne \u00e0 l’attaquant un contr\u00f4le total sur un syst\u00e8me compromis. Il facilite \u00e9galement le masquage des processus ainsi que les artefacts malveillants personnalis\u00e9s, les fichiers et m\u00eame le module du noyau, ce qui le rend plus difficile \u00e0 d\u00e9tecter.<\/p>\n “Le module commence par s’accrocher \u00e0 divers syst\u00e8mes de fichiers. Il d\u00e9terre l’inode du syst\u00e8me de fichiers racine et remplace cet inode readdir()<\/a> pointeur de fonction avec l’un des siens,” LWN.net c’est not\u00e9<\/a> \u00e0 l’\u00e9poque. “La version Adore fonctionne comme celle qu’elle remplace, sauf qu’elle masque tous les fichiers appartenant \u00e0 un utilisateur et \u00e0 un ID de groupe sp\u00e9cifiques.”<\/p>\n Outre ses capacit\u00e9s \u00e0 masquer le trafic r\u00e9seau des utilitaires tels que netstat<\/a>h\u00e9berg\u00e9 dans le rootkit se trouve une charge utile nomm\u00e9e “PgSD93ql” qui n’est rien d’autre qu’un cheval de Troie de porte d\u00e9rob\u00e9e compil\u00e9 bas\u00e9 sur C nomm\u00e9 Rekoobe<\/a> et se d\u00e9clenche \u00e0 la r\u00e9ception d’un paquet magique.<\/p>\n “Rekoobe est un morceau de code implant\u00e9 dans des serveurs l\u00e9gitimes”, ont d\u00e9clar\u00e9 les chercheurs. “Dans ce cas, il est int\u00e9gr\u00e9 dans un faux serveur SMTP, qui g\u00e9n\u00e8re un shell lorsqu’il re\u00e7oit une commande sp\u00e9cialement con\u00e7ue.”<\/p>\n Plus pr\u00e9cis\u00e9ment, Syslogk est con\u00e7u pour inspecter les paquets TCP contenant le num\u00e9ro de port source 59318 afin de lancer le malware Rekoobe. L’arr\u00eat de la charge utile, d’autre part, n\u00e9cessite que le paquet TCP r\u00e9ponde aux crit\u00e8res suivants –<\/p>\n Pour sa part, Rekoobe se fait passer pour un serveur SMTP apparemment anodin mais est en r\u00e9alit\u00e9 bas\u00e9 sur un projet open-source appel\u00e9 Petite coquille<\/a> et incorpore furtivement une commande de porte d\u00e9rob\u00e9e pour g\u00e9n\u00e9rer un shell qui permet d’ex\u00e9cuter des commandes arbitraires.<\/p>\n Syslogk s’ajoute \u00e0 une liste croissante de logiciels malveillants Linux \u00e9vasifs r\u00e9cemment d\u00e9couverts tels que BPFDoor et Symbiote, soulignant comment les cybercriminels ciblent de plus en plus les serveurs Linux et l’infrastructure cloud pour lancer des campagnes de ransomware, des attaques de cryptojacking et d’autres activit\u00e9s illicites.<\/p>\n “Les rootkits sont des logiciels malveillants dangereux”, ont d\u00e9clar\u00e9 les chercheurs. “Les rootkits du noyau peuvent \u00eatre difficiles \u00e0 d\u00e9tecter et \u00e0 supprimer car ces logiciels malveillants s’ex\u00e9cutent dans une couche privil\u00e9gi\u00e9e.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/05\/Nouvelle-variante-Chaos-Ransomware-Builder-quotYashmaquot-Decouvert-a-letat-sauvage.png\")
<\/a><\/div>\n\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n