Un groupe de piratage inconnu parrain\u00e9 par l’\u00c9tat chinois a \u00e9t\u00e9 li\u00e9 \u00e0 un nouveau logiciel malveillant visant les serveurs Linux.<\/p>\n
La soci\u00e9t\u00e9 fran\u00e7aise de cybers\u00e9curit\u00e9 ExaTrack, qui a trouv\u00e9 trois \u00e9chantillons du logiciel malveillant pr\u00e9c\u00e9demment document\u00e9 qui remonte au d\u00e9but de 2022, l’a surnomm\u00e9 M\u00e9lof\u00e9e<\/strong>.<\/p>\n Le plus r\u00e9cent des trois artefacts est con\u00e7u pour supprimer un rootkit en mode noyau bas\u00e9 sur un projet open source appel\u00e9 Reptile<\/a>.<\/p>\n “Selon les m\u00e9tadonn\u00e9es vermagiques, il est compil\u00e9 pour une version de noyau 5.10.112-108.499.amzn2.x86_64,” la soci\u00e9t\u00e9 a dit<\/a> dans un rapport. “Le rootkit a un ensemble limit\u00e9 de fonctionnalit\u00e9s, installant principalement un crochet con\u00e7u pour se cacher.”<\/p>\n L’implant et le rootkit sont cens\u00e9s \u00eatre d\u00e9ploy\u00e9s \u00e0 l’aide de commandes shell qui t\u00e9l\u00e9chargent un programme d’installation et un package binaire personnalis\u00e9 \u00e0 partir d’un serveur distant.<\/p>\n Le programme d’installation prend le package binaire comme argument, puis extrait le rootkit ainsi qu’un module d’implantation de serveur actuellement en cours de d\u00e9veloppement.<\/p>\n Les fonctionnalit\u00e9s de M\u00e9lof\u00e9e ne sont pas diff\u00e9rentes des autres portes d\u00e9rob\u00e9es de ce type, lui permettant de contacter un serveur distant et de recevoir des instructions lui permettant d’effectuer des op\u00e9rations sur les fichiers, de cr\u00e9er des sockets, de lancer un shell et d’ex\u00e9cuter des commandes arbitraires.<\/p>\n Les liens du logiciel malveillant avec la Chine proviennent de chevauchements d’infrastructures avec des groupes tels qu’APT41 (alias Winnti<\/a>) et Earth Berberoka (alias Marionnette<\/a>).<\/p>\n Earth Berberoka est le nom donn\u00e9 \u00e0 un acteur parrain\u00e9 par l’\u00c9tat ciblant principalement les sites Web de jeux d’argent en Chine depuis au moins 2020 en utilisant des logiciels malveillants multiplateformes comme HelloBot et Chiot RAT<\/a>.<\/p>\n Selon Trend Micro, certains \u00e9chantillons du Pupy RAT bas\u00e9 sur Python ont \u00e9t\u00e9 dissimul\u00e9s \u00e0 l’aide du rootkit Reptile.<\/p>\n Devenez un pro de la r\u00e9ponse aux incidents\u00a0!<\/p>\n D\u00e9couvrez les secrets d’une r\u00e9ponse aux incidents \u00e0 toute \u00e9preuve – Ma\u00eetrisez le processus en 6 phases avec Asaf Perlman, le responsable IR de Cynet\u00a0!<\/p>\n Ne manquez rien – R\u00e9servez votre si\u00e8ge\u00a0!<\/a><\/div>\n ExaTrack a \u00e9galement d\u00e9couvert un autre implant nomm\u00e9 AlienReverse, qui partage des similitudes de code avec M\u00e9lof\u00e9e et utilise des outils accessibles au public comme Ver de terre<\/a> et chaussettes_proxy<\/a>.<\/p>\n “La famille d’implants M\u00e9lof\u00e9e est un autre outil dans l’arsenal des attaquants parrain\u00e9s par l’\u00c9tat chinois, qui font preuve d’innovation et de d\u00e9veloppement constants”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9.<\/p>\n “Les capacit\u00e9s offertes par M\u00e9lof\u00e9e sont relativement simples, mais peuvent permettre aux adversaires de mener leurs attaques sous le radar. Ces implants n’ont pas \u00e9t\u00e9 largement vus, ce qui montre que les attaquants limitent probablement son utilisation \u00e0 des cibles de grande valeur.”<\/p>\n <\/p>\n