Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9voil\u00e9 une nouvelle menace Linux enti\u00e8rement non d\u00e9tect\u00e9e appel\u00e9e Orbite<\/strong>signale une tendance croissante des attaques de logiciels malveillants orient\u00e9es vers le syst\u00e8me d’exploitation populaire.<\/p>\n Le malware tire son nom de l’un des noms de fichiers utilis\u00e9s pour stocker temporairement la sortie des commandes ex\u00e9cut\u00e9es (“\/tmp\/.orbit”), selon la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Intezer.<\/p>\n “Il peut \u00eatre install\u00e9 soit avec des capacit\u00e9s de persistance, soit comme un implant volatil”, a d\u00e9clar\u00e9 la chercheuse en s\u00e9curit\u00e9 Nicole Fishbein. a dit<\/a>. “Le logiciel malveillant met en \u0153uvre des techniques d’\u00e9vasion avanc\u00e9es et gagne en persistance sur la machine en accrochant des fonctions cl\u00e9s, fournit aux acteurs de la menace des capacit\u00e9s d’acc\u00e8s \u00e0 distance via SSH, collecte les informations d’identification et enregistre les commandes TTY.”<\/p>\n OrBit est le quatri\u00e8me malware Linux \u00e0 avoir \u00e9t\u00e9 d\u00e9couvert en trois mois apr\u00e8s BPFDoor, Symbiote et Syslogk.<\/p>\n Le logiciel malveillant fonctionne \u00e9galement beaucoup comme Symbiote en ce sens qu’il est con\u00e7u pour infecter tous les processus en cours d’ex\u00e9cution sur les machines compromises. Mais contrairement \u00e0 ce dernier qui s’appuie sur Variable d’environnement LD_PRELOAD<\/a> pour charger l’objet partag\u00e9, OrBit utilise deux m\u00e9thodes diff\u00e9rentes.<\/p>\n “La premi\u00e8re consiste \u00e0 ajouter l’objet partag\u00e9 au fichier de configuration utilis\u00e9 par le chargeur”, a expliqu\u00e9 Fishbein. “La deuxi\u00e8me fa\u00e7on consiste \u00e0 patcher le binaire du chargeur lui-m\u00eame afin qu’il charge l’objet partag\u00e9 malveillant.”<\/p>\n La cha\u00eene d’attaque commence par un Compte-gouttes ELF<\/a> fichier responsable de l’extraction du charge utile<\/a> (“libdl.so”) et en l’ajoutant aux biblioth\u00e8ques partag\u00e9es charg\u00e9es par le lieur dynamique<\/a>.<\/p>\n La biblioth\u00e8que partag\u00e9e malveillante est con\u00e7ue pour fonctions de crochet<\/a> \u00e0 partir de trois biblioth\u00e8ques – libc, libcap et Pluggable Authentication Module (PAM) – obligeant les processus existants et nouveaux \u00e0 utiliser les fonctions modifi\u00e9es, lui permettant essentiellement de collecter les informations d’identification, de masquer l’activit\u00e9 r\u00e9seau et de configurer l’acc\u00e8s \u00e0 distance \u00e0 l’h\u00f4te via SSH, tous tout en restant sous le radar.<\/p>\n
![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEj6zHdXd3qpCksF0nkMkrjsOzaw-cxZGPHWoTEp9y7VPIeyPBFGsmIyIX8NTkqI1IDqnIXYnsZuIh4rc9f8TNUn7ndAZqtXc-t58X2oueTaL4Ijb4hgH-b183QvQ0ienXIipuOsqeLP5b8I2prKmp0RWvdZQgnKehVRKbqRQpin1JgfwlZeE_IB4EmesQ\/s1600\/crowdsec-728.jpg\")
<\/a><\/div>\n