Les syst\u00e8mes Linux connect\u00e9s \u00e0 Internet et les appareils Internet des objets (IoT) sont cibl\u00e9s dans le cadre d’une nouvelle campagne con\u00e7ue pour exploiter ill\u00e9galement la crypto-monnaie.<\/p>\n
“Les acteurs de la menace derri\u00e8re l’attaque utilisent une porte d\u00e9rob\u00e9e qui d\u00e9ploie un large \u00e9ventail d’outils et de composants tels que des rootkits et un bot IRC pour voler les ressources de l’appareil pour les op\u00e9rations mini\u00e8res”, a d\u00e9clar\u00e9 Rotem Sde-Or, chercheur en renseignement sur les menaces chez Microsoft. a dit<\/a>.<\/p>\n “La porte d\u00e9rob\u00e9e installe \u00e9galement une version corrig\u00e9e d’OpenSSH sur les appareils concern\u00e9s, permettant aux acteurs de la menace de d\u00e9tourner les informations d’identification SSH, de se d\u00e9placer lat\u00e9ralement au sein du r\u00e9seau et de dissimuler les connexions SSH malveillantes.”<\/p>\n Pour r\u00e9ussir le sch\u00e9ma, les h\u00f4tes Linux mal configur\u00e9s sont forc\u00e9s brutalement d’obtenir un acc\u00e8s initial, apr\u00e8s quoi les acteurs de la menace se d\u00e9placent pour d\u00e9sactiver l’historique du shell et r\u00e9cup\u00e9rer une version trojanis\u00e9e d’OpenSSH \u00e0 partir d’un serveur distant.<\/p>\n Le package Rogue OpenSSH est configur\u00e9 pour installer et lancer la porte d\u00e9rob\u00e9e, un script shell qui permet aux attaquants de distribuer des charges utiles suppl\u00e9mentaires et de mener d’autres activit\u00e9s post-exploitation.<\/p>\n Cela inclut l’exfiltration d’informations sur l’appareil, l’installation de rootkits open source appel\u00e9s Diamorphine<\/a> et Reptile<\/a> de GitHub, et prenant des mesures pour masquer son activit\u00e9 en effa\u00e7ant les journaux qui pourraient alerter sa pr\u00e9sence.<\/p>\n “Pour garantir un acc\u00e8s SSH persistant \u00e0 l’appareil, la porte d\u00e9rob\u00e9e ajoute deux cl\u00e9s publiques aux fichiers de configuration autoris\u00e9s_keys de tous les utilisateurs du syst\u00e8me”, a d\u00e9clar\u00e9 le fabricant de Windows.<\/p>\n L’implant cherche \u00e9galement \u00e0 monopoliser les ressources du syst\u00e8me infect\u00e9 en \u00e9liminant les processus de minage cryptographiques concurrents qui peuvent d\u00e9j\u00e0 \u00eatre en cours d’ex\u00e9cution avant le lancement de son mineur.<\/p>\n De plus, il ex\u00e9cute une version modifi\u00e9e de ZiggyStarTux<\/a>, un client de d\u00e9ni de service distribu\u00e9 (DDoS) bas\u00e9 sur IRC qui est capable d’ex\u00e9cuter des commandes bash \u00e9mises depuis le serveur de commande et de contr\u00f4le (C2). Il est bas\u00e9 sur un autre malware botnet appel\u00e9 Kaiten (alias Tsunami).<\/p>\n Les attaques, a not\u00e9 le g\u00e9ant de la technologie, exploitent le sous-domaine d’une institution financi\u00e8re anonyme d’Asie du Sud-Est pour les communications C2 dans le but de dissimuler le trafic malveillant.<\/p>\n Il convient de souligner que le modus operandi d\u00e9taill\u00e9 par Microsoft chevauche un rapport r\u00e9cent du AhnLab Security Emergency Response Center (ASEC), qui d\u00e9taillait les attaques ciblant les serveurs Linux expos\u00e9s avec des logiciels malveillants de crypto-minage et une variante de botnet Tsunami surnomm\u00e9e Ziggy.<\/p>\n L’op\u00e9ration a \u00e9t\u00e9 attribu\u00e9e \u00e0 un acteur nomm\u00e9 asterzeu, qui a propos\u00e9 la bo\u00eete \u00e0 outils \u00e0 la vente sur le march\u00e9 des logiciels malveillants en tant que service. “La complexit\u00e9 et la port\u00e9e de cette attaque sont r\u00e9v\u00e9latrices des efforts d\u00e9ploy\u00e9s par les attaquants pour \u00e9chapper \u00e0 la d\u00e9tection”, a d\u00e9clar\u00e9 Sde-Or.<\/p>\n Le d\u00e9veloppement intervient alors que plusieurs failles de s\u00e9curit\u00e9 connues dans les routeurs, les enregistreurs vid\u00e9o num\u00e9riques et d’autres logiciels de r\u00e9seau sont activement exploit\u00e9s par des acteurs de la menace pour d\u00e9ployer le malware du botnet Mirai, selon Akama\u00ef<\/a> et Palo Alto R\u00e9seaux Unit\u00e9 42<\/a>.<\/p>\n “Le botnet Mirai, d\u00e9couvert en 2016, est toujours actif aujourd’hui”, ont d\u00e9clar\u00e9 des chercheurs d’Uni 42. “Une partie importante de la raison de sa popularit\u00e9 parmi les acteurs de la menace r\u00e9side dans les failles de s\u00e9curit\u00e9 des appareils IoT.”<\/p>\n “Ces vuln\u00e9rabilit\u00e9s d’ex\u00e9cution de code \u00e0 distance ciblant les appareils IoT pr\u00e9sentent une combinaison de faible complexit\u00e9 et d’impact \u00e9lev\u00e9, ce qui en fait une cible irr\u00e9sistible pour les acteurs de la menace.”<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/1686048876_77_Alerte-Zero-Day-Google-publie-un-correctif-pour-la-nouvelle-vulnerabilite.jpg\")
<\/a><\/center><\/div>\n![\"Syst\u00e8mes](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEi8fGns5_s0Ff7X_M6Au-tebcQar86sofiWV9TwdHO4GMxCF4TtbD6eRfjdHtODF73FCMSTSic8NbdbyJp3QnV-yK6oxrVyPYzE5eyzvs5yZfcl63oxqHzx5ArNeuK_PVhfmpzJPUqaDG-3gszgVV_zzc8kqCWpuakx2gyE_g0UrX-GvemK6JCsJ99LOeM\/s728-e3650\/rootkit.jpg\" "\\"Syst\u00e8mes")
<\/div>\n