Des acteurs de la menace non identifi\u00e9s ont d\u00e9ploy\u00e9 une nouvelle porte d\u00e9rob\u00e9e qui emprunte ses fonctionnalit\u00e9s \u00e0 la Central Intelligence Agency (CIA) des \u00c9tats-Unis. Ruche<\/a> multi plateforme suite de logiciels malveillants<\/a>dont le code source a \u00e9t\u00e9 publi\u00e9 par WikiLeaks en novembre 2017.<\/p>\n “C’est la premi\u00e8re fois que nous attrapons une variante du kit d’attaque CIA Hive dans la nature, et nous l’avons nomm\u00e9 xdr33<\/strong> bas\u00e9 sur son certificat int\u00e9gr\u00e9 c\u00f4t\u00e9 bot CN=xdr33,” Alex Turing et Hui Wang de Qihoo Netlab 360 m’a dit<\/a> dans un article technique publi\u00e9 la semaine derni\u00e8re.<\/p>\n xdr33 se propagerait en exploitant une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 dans l’appliance F5 et en communiquant avec un serveur de commande et de contr\u00f4le (C2) utilisant SSL avec de faux certificats Kaspersky.<\/p>\n L’intention de la porte d\u00e9rob\u00e9e, selon la soci\u00e9t\u00e9 chinoise de cybers\u00e9curit\u00e9, est de r\u00e9colter des informations sensibles et d’agir comme une rampe de lancement pour les intrusions ult\u00e9rieures. Il am\u00e9liore Hive en ajoutant de nouvelles instructions et fonctionnalit\u00e9s C2, entre autres changements d’impl\u00e9mentation.<\/p>\n Les ELFE<\/a> sample fonctionne en outre comme une balise en exfiltrant p\u00e9riodiquement les m\u00e9tadonn\u00e9es du syst\u00e8me vers le serveur distant et en ex\u00e9cutant les commandes \u00e9mises par le C2.<\/p>\n Cela inclut la possibilit\u00e9 de t\u00e9l\u00e9charger et de t\u00e9l\u00e9charger des fichiers arbitraires, d’ex\u00e9cuter des commandes \u00e0 l’aide de cmd et de lancer le shell, en plus de mettre \u00e0 jour et d’effacer ses traces de l’h\u00f4te compromis.<\/p>\n Le logiciel malveillant int\u00e8gre \u00e9galement un module Trigger con\u00e7u pour espionner le trafic r\u00e9seau pour un paquet “d\u00e9clencheur” sp\u00e9cifique afin d’extraire le serveur C2 mentionn\u00e9 dans la charge utile du paquet IP, d’\u00e9tablir une connexion et d’attendre l’ex\u00e9cution des commandes \u00e9mises par le C2.<\/p>\n “Il convient de noter que Trigger C2 diff\u00e8re de Beacon C2 dans les d\u00e9tails de la communication\u00a0; apr\u00e8s avoir \u00e9tabli un tunnel SSL, [the] bot et Trigger C2 utilisent un \u00c9change de cl\u00e9s Diffie-Hellman<\/a> pour \u00e9tablir une cl\u00e9 partag\u00e9e, qui est utilis\u00e9e dans l’algorithme AES pour cr\u00e9er une deuxi\u00e8me couche de cryptage \u00bb, ont expliqu\u00e9 les chercheurs.<\/p>\n <\/p>\n![\"Malware](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673868148_873_Nouvelle-porte-derobee-creee-a-laide-du-logiciel-malveillant-Hive.png\" "\\"Malware")
<\/div>\n![\"Malware](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/01\/1673868148_913_Nouvelle-porte-derobee-creee-a-laide-du-logiciel-malveillant-Hive.png\" "\\"Malware")
<\/div>\n