HiddenWasp : programme malveillant détecté sur Linux

Version imprimable

03/06/2019, 06h22
Bruno

1 pièce(s) jointe(s)

HiddenWasp : programme malveillant détecté sur Linux

HiddenWasp : un programme malveillant détecté sur Linux,
capable de contrôler totalement les machines infectées

Lorsque les acteurs de la menace obtiennent l’accès à un système, ils ont habituellement le désir de perpétrer cet accès et de le rendre bien plus simple et facile. Pour y parvenir, une porte dérobée peut être installée par l’attaquant pour rendre possibles les futurs accès. Les chercheurs d'Intezer ont découvert la semaine dernière une porte dérobée sous Linux surnommée HiddenWasp. Selon les chercheurs, cette porte dérobée est une suite de programmes comprenant un cheval de Troie, un rootkit et un script de déploiement initial.

Différents des autres programmes malveillants s’exécutant sous Linux, le code et les preuves collectées montrent que les ordinateurs infectés ont déjà été préalablement compromis par ces mêmes acteurs de la menace. L’exécution de HiddenWasp serait donc une phase avancée dans la chaîne de destruction de cette menace. Bien que l’article indique qu’on ne sait pas combien d’ordinateurs ont été infectés ni comment les étapes précédentes ont été déroulées, il convient de noter tout de même que la plupart des programmes du type backdoors sont installés en cliquant sur un objet (lien, image ou fichier exécutable), cela sans que l'utilisateur ne se rende compte que c'est une menace.

Pièce jointe 480247

L’ingénierie sociale qui est une forme d’attaque utilisée par les chevaux de Troie pour tromper les victimes en les incitant à installer des suites de logiciels tels que HiddenWasp sur leurs ordinateurs ou équipements mobiles pourrait être la technique adoptée par ces attaquants pour atteindre leur cible. « Les logiciels malveillants sous Linux encore inconnus d’autres plates-formes pourraient créer de nouveaux défis pour la communauté de la sécurité », écrivait le chercheur Intezer, Ignacio Sanmillan, dans son article de mercredi. « Le fait que ce programme malveillant parvienne à rester sous le radar devrait être une alerte pour que le secteur de la sécurité consacre davantage d'efforts ou de ressources à la détection de ces menaces », a-t-il poursuivi.

Dans sa stratégie d’évasion et de dissuasion, le Kit utilise un script bash accompagné d'un fichier binaire. Selon les chercheurs d'Intezer, les fichiers téléchargés sur Virus Total ont un chemin contenant le nom d'une société de criminalistique basée en Chine, à savoir Shen Zhou Wang Yun. En plus, les logiciels malveillants seraient hébergés sur des serveurs d'une société d'hébergement de serveurs physiques appelée Think Dream située à Hong Kong.

Source : Intezer

Et vous ?

:fleche: Qu'en pensez-vous ?

:fleche: Linux, serait-il aussi vulnérable que Windows ?

Voir aussi

:fleche: Une faille grave du noyau Linux a été découverte dans RDS, Red Hat, Ubuntu, Debian et SUSE affectées

:fleche: Des vulnérabilités de corruption de mémoire dans systemd affectent la plupart des distributions Linux, aucun correctif n'est disponible pour le moment

:fleche: Une faille dans la brique de base des systèmes de conteneurisation RunC permet une évasion des conteneurs Linux, pour gagner un accès root sur l'hôte

:fleche: Microsoft découvre une porte dérobée dans un pilote d'ordinateur portable Huawei, qui permettrait à des hackers d'avoir accès à toutes les données
04/06/2019, 16h05
marsupial

Je comprends mieux pourquoi l'armée chinoise se passe de linux pour changer d'OS.

edit : la backdoor a été implémentée par des chinois d'où mon propos juste au dessus
04/06/2019, 18h11
Steinvikel

Après avoir lu l'actualité, je suis rassuré de comprendre que cette menace ne vient pas d'une partie du code du noyau, mais que sa présence est du à l'entité entre la chaise et le clavier. ^^'
A part ClamAV ...pour linux, vous connaissez quoi pour renforcer la sécurité, pour ceux qui n'y connaissent pas grand chose ?

J'ai eu connaissance de logiciels qui peuvent :
- détecter l'escalade de privilèges pour les processus en cours
- et supprimer le processus avant l'exécution du code d'exploitation
- bloquer les attaques (comme ClamAV)

...je les compte sur les doigts de la mains, la sécurité est pourtant aussi critique /importante que sur Windows, bien que plus élevé par défaut.
Je suppose donc qu'il y a beaucoup de solutions sur le marché, notamment adressé aux entreprises. Mais j'ai aucune visibilité sur ces produits.
Quelqu'un sait où trouver des info sur ces produits ?
04/06/2019, 19h02
marsupial

J'ai un pote génial qui s'appelle Google: dans la liste je choisirai Sophos.
Mais les antivirus ont laissé passer cette faille donc prudence.
04/06/2019, 22h25
grigric

sécurité sous linux

bonjour,
sous linux, il y a beaucoup de logiciels de sécurité efficace et open source.
Tout dépend de ce que tu recherches, par contre, un antivirus ne bloque pas vraiment les attaques, ce n'est pas un ips...
Il y a tripwire, AIDE, wazuh, fail2ban, suricata, snort, chkrootkit, lynis, etc...
04/06/2019, 22h50
abriotde

antivirus linux

Beaucoup d'antivirus Windows ont une version Linux. Au bureau j'ai Kaspersky par exp.
05/06/2019, 07h36
chrtophe

Il y a AppArmor
05/06/2019, 09h02
CaptainDangeax

Putaclic

Donc, pour l'exploitation de cette faille, c'est donc une série de logiciels qui doivent être installés par l'utilisateur avec des droits root et qui permet la prise de contrôle à distance de Linux. Oui, oui, oui :calim2:
On peut aussi le faire avec SSH, autoriser la connexion du root sans mot de passe...
On peut aussi créer un compte guest sans mot de passe avec les droits sudo...
Pour l'administrateur d'un réseaux de postes de travail sous Linux, la mesure est très simple :
- /home monté sur une partition séparée et avec le flag noexec
- compte utilisateur sans escalade sudo.
- et services réduits au strict nécessaire.
Et pas besoin de solutions tierces parties.

ça fait 26 ans que j'utilise Linux. ça fait 26 ans que je lis des news sur des vecteurs d'attaque. Et ça fait 26 ans que ces failles ne sont exploitables qu'avec une longue liste de prérequis : incompétence de l'administrateur, sécurité diminuée par rapport à l'installation du système depuis l'iso, intervention de l'utilisateur avec des droits root.

Le jour où on aura l'équivalent d'un wannacry ou d'un blaster qui s'installe et s'éxécute tout seul sur un parc Linux sans aucun des 3 prérequis que j'ai indiqué ci-dessus, réveillez-moi.
05/06/2019, 10h39
htoukour

Entièrement d'accord avec CaptainDangeax. Linux te donne le choix.
05/06/2019, 17h55
zozizozu

Pareil, bien d'accord avec @CaptainDangeax, pour la prod...
A la maison, je suis plus tranquille, ( sudo et compagnie ), et je m'autorise de tester un peut tout et n'importe quoi ( bon, je ne suis pas les liens d'email non identifiés hein ).

Donc fail2ban + tripwire
05/06/2019, 23h43
Madmac

@CaptainDangeax

Une attaque avec un paquetage semble l'explication la plus évidente. Mais avec le backdoor inclus avec la CPU intel. Les choses ne sont plus aussi simple.

À partir du moment qu'il est possible d'avoir le mot de passe de l'administrateur, les risques de Rootkit deviennent énormes.
06/06/2019, 17h07
CaptainDangeax

FUD

Citation:

Envoyé par Madmac

@CaptainDangeax

Une attaque avec un paquetage semble l'explication la plus évidente. Mais avec le backdoor inclus avec la CPU intel. Les choses ne sont plus aussi simple.

À partir du moment qu'il est possible d'avoir le mot de passe de l'administrateur, les risques de Rootkit deviennent énormes.

J'attends le proof of concept. Pas vu depuis 26 ans.
Il faut aussi distinguer la possibilité d'accès physique à la machine visée. La sécurité commence à la porte du bâtiment.
07/06/2019, 10h41
disedorgue

Citation:

Envoyé par CaptainDangeax

J'attends le proof of concept. Pas vu depuis 26 ans.
Il faut aussi distinguer la possibilité d'accès physique à la machine visée. La sécurité commence à la porte du bâtiment.

Je suis d'accord avec toi pour un env de prod, mais on est dans le même souci que windows dans le cas des particuliers qui ne sont que de simples utilisateurs qui n'y connaissent pas grand chose.
Dans la plupart des cas, ils sont à la merci de la configuration mise en place par la distribution utilisée.

Dans le principe, on est sur 2 monde à part entre une attaque windows et une attaque sur des unix/linux: pour windows, on ne vise pas une machine en particulier, on vise la masse. Alors que pour unix/linux, on fait une attaque ciblé d'un serveur que l'on veut atteindre.
Windows: l'attaquant n'est pas actif, il fait de la pêche au filet.
Unix/linux: là, c'est plus moby dick

Mais si on fait une pêche au filet sur du Unix/linux, on aura les mêmes travers que pour windows (le maillon faible est très très souvent entre la chaise et le clavier (ou la souris :) )
07/06/2019, 14h48
Steinvikel

Citation:

Envoyé par marsupial

J'ai un pote génial qui s'appelle Google: dans la liste je choisirai Sophos.
Mais les antivirus ont laissé passer cette faille donc prudence.

Les antivirus propriétaires ont toutes les raisons du monde pour laisser passer ou bloquer telle et telle action, accès, fichier... que ce soit un éditeur de carte de scénario dans un jeu vidéo associé maladroitement à un crack, un utilitaire d'optimisation qui vient perturber leur business ou celui de leur partenaires... je ne compte plus les faux positif provenant de produits démocratisé, ou simplement sous licence libre. =,=
Au delà de ça, il ne sont pas parfait, ni omnipotents, ils sont bons pour bloquer les menaces répertoriées, et pas tant que ça pour les anticiper.
*Je parle surtout des versions gratuites.

Citation:

Envoyé par chrtophe

Il y a AppArmor

Citation:

Envoyé par zozizozu

Donc fail2ban + tripwire

Citation:

Envoyé par grigric

sous linux, il y a beaucoup (...) Tout dépend de ce que tu recherches, par contre, un antivirus ne bloque pas vraiment les attaques, ce n'est pas un ips...
Il y a tripwire, AIDE, wazuh, fail2ban, suricata, snort, chkrootkit, lynis, etc...

Merci pour les exemples :)
Oui, un AV ça ne bloque pas, mais ça permet au moins de statuer sur ce que représente le fichier avant d'en faire quoi que ce soit, comme l’exécuter pour voir ce que ça fait. :aie:
En FLOSS je n'est noté que ClamAV + ses dérivés en tant qu'anti-virus (une liste ici, loin d'être exhaustive), pour le reste, tout dépend de la confiance que l'on est prêt à mettre dans un prestataire opaque pour lui donner les pleins pouvoirs de sa machine.
Pour ce qui est du reste, le contrôle d'accès, il y a nettement plus de choix sous licence libre !

Citation:

Envoyé par CaptainDangeax

Donc, pour l'exploitation de cette faille, c'est donc une série de logiciels qui doivent être installés par l'utilisateur avec des droits root et qui permet la prise de contrôle à distance de Linux. Oui, oui, oui :calim2:

J'en ai pas synthétisé la même chose :

Citation:

Envoyé par Bruno

(...) la plupart des programmes du type backdoors sont installés en cliquant sur un objet (lien, image ou fichier exécutable), cela sans que l'utilisateur ne se rende compte que c'est une menace. Le fait que ce programme malveillant parvienne à rester sous le radar devrait être une alerte pour que (...) Dans sa stratégie d’évasion et de dissuasion, le Kit utilise un script BASH accompagné d'un fichier binaire.

Là, il n'est pas question d'installation au sens large, mais simplement d’exécution... les machines infectés pouvait exécuter des images, du texte... il y avait donc au préalable un vrai problème de restriction des droits. De plus il n'a ni été fait mention ni de la nécessité de droits root, ni d'une escalade de privilège.
07/06/2019, 15h41
sergio_is_back

Citation:

Envoyé par CaptainDangeax

Donc, pour l'exploitation de cette faille, c'est donc une série de logiciels qui doivent être installés par l'utilisateur avec des droits root et qui permet la prise de contrôle à distance de Linux. Oui, oui, oui :calim2:

Oui, Oui, Oui,

Je ne sais pas vraiment si l'on peut parler de faille...
A partir de l'instant où un utilisateur installe le package avec les droits "root"... Il prend ses responsabilités...
07/06/2019, 16h03
sergio_is_back

1 pièce(s) jointe(s)

Citation:

Envoyé par Steinvikel

Là, il n'est pas question d'installation au sens large, mais simplement d’exécution... les machines infectés pouvait exécuter des images, du texte... il y avait donc au préalable un vrai problème de restriction des droits. De plus il n'a ni été fait mention ni de la nécessité de droits root, ni d'une escalade de privilège.

Déjà :"les machines infectés pouvait exécuter des images, du texte..." c'est pas clair.... On ne peut exécuter que des scripts ou des binaires.... Certes on peut "cacher" un script dans un fichier mais c'est loin d'être évident

De plus sous Linux on ne peut exécuter un binaire ou un script que si ce dernier a les bonnes permissions (au moins xr- pour l'utilisateur) et qu'il est situé dans un des dossiers paramétrés dans la variable d'environnement PATH (pas dans un répertoire type /home/user/downloads par exemple... Sinon il faut forcer l'exécution du script ou du binaire depuis la console.... donc c'est une action volontaire... après si le binaire veut installer une backdoor ou un rootkit il faut surement une escalade de privilèges (donc on exécute en sudo et on demande le mot de passe utilisateur) je vois pas comment faire autrement où alors la session utilisateur est directement sous "root"

Si l'on en croit le site Intezer qui publie une partie du script de déploiement :
Pièce jointe 481773

On y voit des commandes comme "useradd", "groupadd" et d'autres encore comme la modification du fichier /etc/rc.local
Ces actions demandent plus de privilèges qu'un simple compte utilisateur n'en possède à l'origine sur les distributions classiques, au minimum il faut exécuter ce script avec sudo
07/06/2019, 17h11
disedorgue

En fait, cela semble un peu plus vicieux que ça, faudrait voir tout le code, mais en lecture rapide, il semble être capable d'infecter un compte utilisateur quelconque et attend patiemment que celui-ci prenne les droits via un sudo pour profiter des privilèges.
Donc même si l'user ne l’exécute pas en root ou sudo, le jour ou celui-ci fera un sudo depuis son compte, l'infection se propagera de manière globale.

Mais, on reste quand même sur une faille liée à la "structure" qui se trouve entre la chaise et le clavier.
08/06/2019, 00h04
CaptainDangeax

Citation:

Envoyé par Steinvikel

J'en ai pas synthétisé la même chose :

Là, il n'est pas question d'installation au sens large, mais simplement d’exécution... les machines infectés pouvait exécuter des images, du texte... il y avait donc au préalable un vrai problème de restriction des droits. De plus il n'a ni été fait mention ni de la nécessité de droits root, ni d'une escalade de privilège.

Les fichiers qui entrent dans un système Linux ne sont pas exécutables par défaut (contrairement à cette passoire de Windows et son NTFS qui considère tous les fichiers comme exécutables). Il faut une action manuelle de l'utilisateur pour les lancer. De plus, ton binaire installé avec le bash aura des droits d'exécution limités aux droits de l'utilisateur : en gros son répertoire /home/utilisateur et c'est tout.
08/06/2019, 03h42
Madmac

Citation:

Envoyé par CaptainDangeax

J'attends le proof of concept. Pas vu depuis 26 ans.
Il faut aussi distinguer la possibilité d'accès physique à la machine visée. La sécurité commence à la porte du bâtiment.

La preuve est arrivée avec wikileak, lorsque des gens ont découvert une directives de la NSA pour protéger leurs ordinateurs contre Meltdown et Spectre avant que leur existence de ces virus soit soit découvert par le reste de la planète.

https://www.csoonline.com/article/32...o-the-nsa.html

https://www.youtube.com/watch?v=Lr-9aCMUXzI
08/06/2019, 05h32
Bruno

Citation:

Envoyé par disedorgue

En fait, cela semble un peu plus vicieux que ça, faudrait voir tout le code, mais en lecture rapide, il semble être capable d'infecter un compte utilisateur quelconque et attend patiemment que celui-ci prenne les droits via un sudo pour profiter des privilèges.
Donc même si l'user ne l’exécute pas en root ou sudo, le jour ou celui-ci fera un sudo depuis son compte, l'infection se propagera de manière globale.

Merci Disedorgue, en effet, deux éléments sont à prendre en compte dans cette stratégie d'attaque : la notion de backdoor ou porte arrière et celle d'escalade de privilège.
08/06/2019, 10h37
l'art souille

A la lecture de l'étude détaillée originale, j'ai blacklisté à tout hasard les deux adresses IP (à Honkong) mentionnées...
09/06/2019, 18h20
Steinvikel

Citation:

Envoyé par sergio_is_back

Déjà :"les machines infectés pouvait exécuter des images, du texte..." c'est pas clair.... On ne peut exécuter que des scripts ou des binaires.... Certes on peut "cacher" un script dans un fichier mais c'est loin d'être évident (...)

On est donc bien d'accord, si l'utilisateur déclenche une "exécution" de code à son insu, sur autre chose que du binaire/script... soit l'utilisateur est inconscient, soit l'environnement est "mal" paramétré.

Citation:

Envoyé par sergio_is_back

après si le binaire veut installer une backdoor ou un rootkit il faut surement une escalade de privilèges (donc on exécute en sudo et on demande le mot de passe utilisateur) je vois pas comment faire autrement où alors la session utilisateur est directement sous "root"

Le principe d'une "escalade de privilège" c'est justement de devenir root sans passer par --> ouvrir une fenêtre --> login --> mot de passe --> trop tard !
Mais de s'approprier toujours un peu plus de privilèges de manière détourné... par effet de bord, de comportement non déterminé, de faille, etc.
Donc, pas besoin d'exécuter en sudo pour être vérolé, si tel est le cas. En revanche, comme précisé plus haut, ce n'est pas instantané pour devenir root.