Un acteur malveillant, vraisemblablement originaire de Tunisie, a \u00e9t\u00e9 associ\u00e9 \u00e0 une nouvelle campagne ciblant les ordinateurs portables Jupyter expos\u00e9s dans une double tentative d’exploitation illicite de crypto-monnaie et de violation des environnements cloud.<\/p>\n
Doubl\u00e9 Frappe Qubit<\/strong> par Cado, l’ensemble d’intrusion utilise l’API Telegram pour exfiltrer les informations d’identification du fournisseur de services cloud apr\u00e8s une compromission r\u00e9ussie.<\/p>\n “Les charges utiles de la campagne Qubitstrike sont toutes h\u00e9berg\u00e9es sur codeberg.org \u2013 une plate-forme d’h\u00e9bergement Git alternative, offrant en grande partie les m\u00eames fonctionnalit\u00e9s que GitHub”, chercheurs en s\u00e9curit\u00e9 Matt Muir et Nate Bill. dit<\/a> dans un article de mercredi.<\/p>\n Dans la cha\u00eene d’attaque document\u00e9e par la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud, des instances Jupyter accessibles au public sont viol\u00e9es pour ex\u00e9cuter des commandes permettant de r\u00e9cup\u00e9rer un script shell (mi.sh) h\u00e9berg\u00e9 sur Codeberg.<\/p>\n Le script shell, qui fait office de charge utile principale, est charg\u00e9 d’ex\u00e9cuter un mineur de cryptomonnaie, d’\u00e9tablir la persistance au moyen d’une t\u00e2che cron, d’ins\u00e9rer une cl\u00e9 contr\u00f4l\u00e9e par l’attaquant dans le fichier .ssh\/authorized_keys pour un acc\u00e8s \u00e0 distance et de propager le malware vers d’autres h\u00f4tes via SSH.<\/p>\n Le malware est \u00e9galement capable de r\u00e9cup\u00e9rer et d’installer le rootkit Diamorphine pour dissimuler les processus malveillants ainsi que de transmettre les informations d’identification Amazon Web Services (AWS) et Google Cloud captur\u00e9es \u00e0 l’attaquant via l’API du bot Telegram.<\/p>\n Un aspect remarquable des attaques est le changement de nom d’utilitaires de transfert de donn\u00e9es l\u00e9gitimes tels que curl et wget dans le but probable d’\u00e9chapper \u00e0 la d\u00e9tection et d’emp\u00eacher les autres utilisateurs du syst\u00e8me d’utiliser ces outils.<\/p>\n “mi.sh parcourra \u00e9galement une liste cod\u00e9e en dur de noms de processus et tentera de tuer les processus associ\u00e9s”, ont indiqu\u00e9 les chercheurs. “Cela risque de contrecarrer toute op\u00e9ration mini\u00e8re de la part de concurrents qui auraient pu auparavant compromettre le syst\u00e8me.”<\/p>\n Le script shell est en outre con\u00e7u pour exploiter la commande netstat et une liste cod\u00e9e en dur de paires IP\/port, pr\u00e9c\u00e9demment associ\u00e9es aux campagnes de cryptojacking, afin de supprimer toutes les connexions r\u00e9seau existantes \u00e0 ces adresses IP.<\/p>\n Des mesures ont \u00e9galement \u00e9t\u00e9 prises pour supprimer divers fichiers journaux Linux (par exemple, \/var\/log\/secure et \/var\/log\/wtmp), ce qui est un autre signe que les acteurs de Qubitstrike cherchent \u00e0 passer inaper\u00e7us.<\/p>\n Les origines exactes de l’auteur de la menace restent floues, m\u00eame si des preuves indiquent qu’il s’agit probablement de la Tunisie en raison de l’adresse IP utilis\u00e9e pour se connecter au pot de miel cloud \u00e0 l’aide des informations d’identification vol\u00e9es.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/10\/Qubitstrike-cible-les-ordinateurs-portables-Jupyter-avec-une-campagne-de.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n