Microsoft met en garde contre une nouvelle variante de botnet ciblant les systèmes Windows et Linux

Microsoft a averti les entreprises que ses experts en sécurité ont rencontré une nouvelle variante du botnet Sysrv qui prend en charge des exploits supplémentaires et peut prendre le contrôle des serveurs Web.

La famille de botnets est observée depuis 2020 et est connue pour cibler les systèmes Windows et Linux, en installant des mineurs de crypto-monnaie Monero.

La nouvelle variante, baptisée Sysrv-K, est vermifuge et analyse Internet à la recherche de vulnérabilités dans les applications Web et les bases de données pour les exploiter et les installer, a déclaré Microsoft dans un fil Twitter.

Sysrv-K fonctionne de la même manière que les anciennes variantes en ce sens qu'il analyse les clés Secure Shell (SSH), les adresses IP et les noms d'hôte, avant d'essayer de diffuser des copies de lui-même sur le réseau.

La nature wormable de Sysrv-K est une préoccupation pour les entreprises exécutant Windows ou Linux sur des systèmes connectés à Internet. Microsoft a conseillé à tout le monde de sécuriser tous les systèmes connectés à Internet et de corriger les vulnérabilités de sécurité connues.

Les vulnérabilités utilisées par Sysrv-K sont un mélange de menaces plus anciennes et plus récentes et couvrent une myriade de types, notamment la traversée de chemin, la divulgation de fichiers à distance, le téléchargement de fichiers arbitraires et l'exécution de code à distance.

L'un des nouveaux comportements observés dans Sysrv-K, et non dans les variantes précédentes, est son analyse des fichiers de configuration WordPress et de leurs sauvegardes pour récupérer les informations d'identification de la base de données.

Sysrv-K utilise ensuite ces informations d'identification collectées pour prendre le contrôle du serveur Web où il peut utiliser ses outils de communication mis à niveau, tels que l'accès à un bot Telegram.

La famille Sysrv

La famille de botnets Sysrv existe depuis décembre 2020, mais son activité a d'abord connu un pic vers mars 2021, incitant des sociétés de cybersécurité comme Juniper à analyser les attaques.

Depuis son lancement, plusieurs améliorations ont été apportées à Sysrv, comme la compilation du ver et du mineur Monero en un seul binaire l'année dernière.

Juniper a déclaré que la combinaison des deux offrirait à l'acteur de la menace "un meilleur contrôle et une meilleure gestion" car le binaire est constamment mis à jour.

Dans le cadre du script du chargeur, les clés SSH utilisées dans la variante la plus récente n'ont également été ajoutées que l'année dernière avant que l'activité ne commence à augmenter. Les chercheurs ont déclaré qu'il s'agissait d'une autre initiative utilisée pour obtenir une plus grande persistance dans les machines cibles, ce qui pourrait conduire à des attaques plus sophistiquées que l'extraction de crypto-monnaie.

Une analyse NHS Digital de Sysrv a conclu que le binaire est écrit en Go, un langage de développement multiplateforme qui devient de plus en plus populaire parmi les cybercriminels.

Sysrv prépare le système infecté en supprimant tous les mineurs de crypto-monnaie actuellement installés avant de mettre fin aux services et de modifier le pare-feu du système.

Il installe ensuite le mineur Monero - le type de mineur peut dépendre de la variante qui infecte une machine - et recherche des moyens de se déplacer et de se propager latéralement pendant l'exécution du programme de mineur.