Un nouveau malware appel\u00e9 Conditions<\/strong> a \u00e9t\u00e9 observ\u00e9 exploitant une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 dans les routeurs Wi-Fi TP-Link Archer AX21 (AX1800) pour lier les appareils \u00e0 un botnet de d\u00e9ni de service distribu\u00e9 (DDoS).<\/p>\n Laboratoires Fortinet FortiGuard a dit<\/a> la campagne s’est intensifi\u00e9e depuis fin mai 2023. Condi est l’\u0153uvre d’un acteur mena\u00e7ant qui utilise l’alias en ligne zxcr9999 sur Telegram et g\u00e8re une cha\u00eene Telegram appel\u00e9e Condi Network pour annoncer leur warez.<\/p>\n “La cha\u00eene Telegram a \u00e9t\u00e9 lanc\u00e9e en mai 2022, et l’acteur de la menace a mon\u00e9tis\u00e9 son botnet en fournissant DDoS-as-a-service et en vendant le code source du malware”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Joie Salvio et Roy Tay.<\/p>\n Une analyse de l’artefact malveillant r\u00e9v\u00e8le sa capacit\u00e9 \u00e0 mettre fin \u00e0 d’autres botnets concurrents sur le m\u00eame h\u00f4te. Cependant, il manque un m\u00e9canisme de persistance, ce qui signifie que le programme ne peut pas survivre \u00e0 un red\u00e9marrage du syst\u00e8me.<\/p>\n Pour contourner cette limitation, le logiciel malveillant supprime plusieurs fichiers binaires utilis\u00e9s pour arr\u00eater ou red\u00e9marrer le syst\u00e8me –<\/p>\n Condi, contrairement \u00e0 certains botnets qui se propagent au moyen d’attaques par force brute, exploite un module de scanner qui v\u00e9rifie les appareils TP-Link Archer AX21 vuln\u00e9rables et, si c’est le cas, ex\u00e9cute un script shell r\u00e9cup\u00e9r\u00e9 \u00e0 partir d’un serveur distant pour d\u00e9poser le malware.<\/p>\n Plus pr\u00e9cis\u00e9ment, le scanner identifie les routeurs sensibles \u00e0 CVE-2023-1389 (score CVSS\u00a0: 8,8), un bogue d’injection de commande<\/a> qui \u00e9tait auparavant exploit\u00e9 par le botnet Mirai.<\/p>\n Fortinet a d\u00e9clar\u00e9 avoir rencontr\u00e9 d’autres \u00e9chantillons de Condi qui exploitaient plusieurs failles de s\u00e9curit\u00e9 connues pour la propagation, sugg\u00e9rant que les logiciels non corrig\u00e9s risquaient d’\u00eatre cibl\u00e9s par des logiciels malveillants de botnet.<\/p>\n Mis \u00e0 part les tactiques de mon\u00e9tisation agressives, Condi vise \u00e0 pi\u00e9ger les appareils pour cr\u00e9er un puissant botnet DDoS qui peut \u00eatre lou\u00e9 par d’autres acteurs pour orchestrer des attaques d’inondation TCP et UDP sur des sites Web et des services.<\/p>\n “Les campagnes de logiciels malveillants, en particulier les botnets, cherchent toujours des moyens de se d\u00e9velopper”, ont d\u00e9clar\u00e9 les chercheurs. “L’exploitation des vuln\u00e9rabilit\u00e9s r\u00e9cemment d\u00e9couvertes (ou publi\u00e9es) a toujours \u00e9t\u00e9 l’une de leurs m\u00e9thodes pr\u00e9f\u00e9r\u00e9es.”<\/p>\n \ud83d\udd10 Ma\u00eetriser la s\u00e9curit\u00e9 des API\u00a0: Comprendre votre v\u00e9ritable surface d’attaque<\/p>\n D\u00e9couvrez les vuln\u00e9rabilit\u00e9s inexploit\u00e9es de votre \u00e9cosyst\u00e8me d’API et prenez des mesures proactives pour une s\u00e9curit\u00e9 \u00e0 toute \u00e9preuve. Rejoignez notre webinaire perspicace !<\/p>\n Rejoindre la s\u00e9ance<\/a><\/div>\n Le d\u00e9veloppement intervient alors que le AhnLab Security Emergency Response Center (ASEC) a r\u00e9v\u00e9l\u00e9 que des serveurs Linux mal g\u00e9r\u00e9s sont pirat\u00e9s pour fournir des bots DDoS tels que ShellBot et Tsunami (alias Kaiten) ainsi qu’abuser furtivement des ressources pour l’extraction de crypto-monnaie.<\/p>\n “Le code source de Tsunami est accessible au public, il est donc utilis\u00e9 par une multitude d’acteurs de la menace”, ASEC a dit<\/a>. “Parmi ses diverses utilisations, il est principalement utilis\u00e9 dans les attaques contre les appareils IoT. Bien s\u00fbr, il est \u00e9galement syst\u00e9matiquement utilis\u00e9 pour cibler les serveurs Linux.”<\/p>\n Les cha\u00eenes d’attaque consistent \u00e0 compromettre les serveurs \u00e0 l’aide d’un attaque par dictionnaire<\/a> pour ex\u00e9cuter un script shell escroc capable de t\u00e9l\u00e9charger des logiciels malveillants de niveau sup\u00e9rieur et de maintenir un acc\u00e8s par porte d\u00e9rob\u00e9e persistant en ajoutant une cl\u00e9 publique au fichier .ssh\/authorized_keys.<\/p>\n Le malware botnet Tsunami utilis\u00e9 dans l’attaque est une nouvelle variante appel\u00e9e Ziggy qui partage des chevauchements significatifs avec le code source d’origine. Il utilise en outre le chat de relais Internet (CRI<\/a>) pour le commandement et le contr\u00f4le (C2).<\/p>\n Un ensemble d’outils auxiliaires est \u00e9galement utilis\u00e9 pendant les intrusions pour l’\u00e9l\u00e9vation des privil\u00e8ges et la modification ou l’effacement des fichiers journaux afin de dissimuler la piste et d’entraver l’analyse.<\/p>\n “Les administrateurs doivent utiliser des mots de passe difficiles \u00e0 deviner pour leurs comptes et les modifier p\u00e9riodiquement pour prot\u00e9ger le serveur Linux des attaques par force brute et des attaques par dictionnaire et mettre \u00e0 jour le dernier correctif pour emp\u00eacher les attaques de vuln\u00e9rabilit\u00e9”, a d\u00e9clar\u00e9 l’ASEC.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686048876_77_Alerte-Zero-Day-Google-publie-un-correctif-pour-la-nouvelle-vulnerabilite.jpg\")
<\/a><\/center><\/div>\n\n
![\"Logiciel](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1687338820_293_Le-nouveau-logiciel-malveillant-Condi-detourne-les-routeurs-Wi-Fi-TP-Link.jpg\" "\\"Logiciel")
<\/div>\n